Autoblog de la La quadrature du net

Ce site n'est pas le site officiel de la Quadrature du net.
C'est un blog automatisé qui réplique les articles de laquadrature.net

La Smart City policière se répand comme traînée de poudre

Fri, 06 Jul 2018 08:41:42 +0000 - (source)

En mars, nous levions un bout du voile qui entoure encore le projet orwellien de la « Smart City™ » marseillaise. Mais force est de constater que le cas de Marseille n'est que l'arbre qui cache la forêt. Car la police prédictive et les centres de surveillance policière dopés aux Big Data pullulent désormais sur le territoire français. Une dérive qu'illustre très bien le cas de Nice : la ville de Christian Estrosi, grand obsédé sécuritaire, a fait appel à Engie Inéo et Thalès, par ailleurs concurrents sur ce marché en plein essor, pour deux projets censés faire advenir la « Safe City™ » niçoise. Or, face à cette fuite en avant dans les technologies de contrôle social que nos élus assument sans rougir, la présidente de la CNIL semble trouver qu'il urgent de... suivre la situation. Ce qui revient à laisser faire.

Cet hiver, Christian Estrosi, maire de Nice, a encore fait parler de lui. Il paradait, tout fier du contrat passé avec une entreprise israëlienne pour permettre, via une application smartphone, aux citoyens de se faire auxiliaires de police. Sollicitée par le conseil municipal de la ville, la CNIL a fait savoir fin mars son opposition, pointant le manque de base légale du dispositif ainsi que l'atteinte « disproportionnée » au droit à la vie privée qui en résultait.

Mais cette controverse relayée dans les médias a masqué l'essentiel. Car depuis l'an dernier, Nice aussi se prépare à devenir la Smart City™ du turfu en misant sur des partenariats avec de grandes entreprises des technologies de contrôle. Et on ne parle pas d'une petite boîte israélienne. On parle de Thales, bien connue, ou d'Engie-Inéo, une filiale Big Data du groupe Engie (Suez) (dans lesquelles l'État français détient respectivement 26,4% et 32,76% de parts). On ne parle pas non plus d'une simple « app » permettant de faire entrer le vigilantisme et la délation à l'ère 3.0, non. On parle de centres de contrôle-commande équipés de tout l'attirail moderne pour sonder quantités de bases de données issues des services publics ou d'entreprises privées, surveiller en temps réel l'espace public urbain et ce qui se dit sur les réseaux sociaux, faire de la police « prédictive »...

À Nice, première expérimentation d'Engie Inéo

D'une part, il y a le projet d'Engie Inéo, une expérimentation annoncée à l'été 2017 (on devait être à la plage, on était en tout cas passé à côté), qui aurait pris fin en février 2018. L'an dernier la mairie présentait le projet en ces termes :

ENGIE Ineo expérimentera à Nice une solution globale de sécurité inédite : un centre de contrôle et de commandement basé sur une table tactile et tactique « DECIDE » et la plateforme SenCity.

Le développement progressif de ce dispositif a pour but de mettre à disposition, notamment des autorités policières, une plateforme tactique et tactile pour assurer une coordination globale en temps réel.

(...) En s’appuyant sur les ressources locales et sur l’ensemble des données collectées par la métaplateforme SenCity, (caméras, bornes escamotables, feux de circulation, boutons d’alerte, contrôles d’accès des bâtiments) ce dispositif révolutionne les solutions de sécurité mises à disposition des décideurs.

C'est du « totalement inédit », à en croire Thierry Orosco, Directeur des Stratégies de Sécurité d’Engie Inéo. Ça ressemble à s'y méprendre à ce qui se trame à Marseille, et dont nous soulignions les dangers il y a quelques semaines. Cette « révolution » marque en tout cas une nouvelle étape dans la privatisation des forces de sécurité, alors que ces outils techniques sont appelés à jouer un rôle central non seulement dans la préemption et la répression policières, mais aussi plus largement dans le « management » des forces de l'ordre. Comme le rappelle le premier syndicat de la police municipale en réaction à l'affaire Reporty : « Il n'est jamais bon, sur le plan moral, de déléguer le service public de la sécurité à des personnes privées ».

La team Thales dans la roue

Quant à Thales, elle semble reprendre le flambeau à la tête d'un consortium qui propose une nouvelle « expérimentation ». Le mois dernier, le conseil municipal de Nice votait en effet une convention d'expérimentation « Safe City » (pdf), en dépit des critiques d'une partie de l'opposition.

Thales a aussi jeté son dévolu sur le quartier de La Défense en région parisienne. Le groupe se targue de son expérience dans le domaine de la sécurité et du numérique. Non, il ne s'agit pas de la Plateforme nationale des informations judiciaire des interceptions (PNIJ) (qui, pour le coup, est un fiasco total, très coûteux). Il s'agit de « vidéosurveillance intelligente ».

La vidéosurveillance devient « smart »

C'est la grande mode. Après avoir dépensé des centaines de millions d'euros pour des caméras aux résultats insignifiants, les industriels ne jurent désormais que par l'analyse automatique des images. Le ministre de l'Intérieur, Gérard Collomb, s'en faisait le VRP encore récemment, alors qu'il dissertait le 8 juin dernier sur la répression des mouvements sociaux (il parlait des ZAD et des manifestations). Et le ministère amer d'indiquer :

En matière d’exploitation des images et d’identification des personnes, on a encore une grande marge de progression. L’intelligence artificielle doit permettre, par exemple, de repérer dans la foule des individus au comportement bizarre1.

On imagine, demain, ce que donnera l'utilisation de la reconnaissance faciale en lien avec des fichiers biométriques comme le fichier TES dans ces nouveaux dispositifs répressifs. Ce n'est pas céder à la facilité que de dire qu'en la matière, la Chine montre le chemin.

Vers un « Waze de la sécurité »

À Nice, dans le cadre de ce nouveau « Projet d'expérimentation Safe City » (pdf) voté par la Ville en juin (et que La Quadrature s'est procuré), Thales et le consortium qu'il dirige veulent aller plus loin, en créant le « Waze de la sécurité » à la sauce Big Data. Pour aider les « décideurs », il s'agit de « collecter le maximum de données existantes et d'en chercher les corrélations et les signaux faibles » (p. 23), de « développer les nouveaux algorithmes d’analyse et de corrélation permettant de mieux comprendre une situation et de développer des capacités prédictives » (p. 24). Comme à Marseille, la surveillance des réseaux sociaux et autres « données ouvertes » sont en ligne de mire, notamment pour les « textes courts et mal écrits » chers à Twitter qui passeront à la moulinette d'outils d'analyse sémantique pour aider à la gestion des foules, à l'analyse des rumeurs, et le « suivi des actions de certains individus ou groupes de personnes » (là, le spécialiste du consortium est l'entreprise GEOLSemantics).

Les partenaires du projet « Safe City » piloté par Thales.

Certes, pour l'heure, tout cela relève aussi et surtout d'un discours marketing destiné à appâter des élus en mal de sensationnel. Ces projets sont bien des expérimentations, avec des « cas d'usage » en apparence délimités. Ils permettent en fait à ces grands groupes de faire financer par l'État et les collectivités françaises, avec l'aide de l'Europe2 ou de la Banque publique d'investissement3, leur recherche et développement, et de disposer de « démonstrateurs » grandeur nature pour alimenter leurs campagnes de marketing sécuritaire.

Smart City policière, realpolitik industrielle ?

Pour ces grands groupes français et leurs émanations institutionnelles telles que le CoFIS (le comité de la filière industrielle de sécurité, organisé au niveau du ministère de l'Intérieur), il s'agit en effet de se positionner dans le marché en plein essor de la Smart City™, alors que les grandes multinationales américaines comme Google ou chinoises comme Huawei sont en embuscade.

Car tout cela va évidemment bien au-delà du champ de la sécurité. Dans le viseur, l'ensemble des services publics sont concernés, des transports à l'énergie en passant par la gestion des déchets. Sur tous ces sujets, des entreprises comme Thalès ou Engie Inéo espèrent pousser les ville à faire exploser leurs budgets. Et Pierre Cunéo, en charge de la Stratégie, recherche et technologie chez Tales, de regretter que « pour l'instant pas une ville ne demande de tout mettre en réseau (...). Tout cela ne concerne que la sécurité. Les budgets des villes ne permettent pas encore d'aller plus loin ». Là aussi, ces projets d'expérimentation ont valeur de test pour des stratégies de séduction des agents, et convertir ainsi les services publics à leurs « solutions » et les rendant toujours plus dépendants de l'expertise privée. Avec à la clé pléthore de juteux contrats publics.

Mais revenons-en à la police. Si, aux États-Unis, les incursions de plus en plus marquées des GAFAM dans le complexe militaro-industriel suscitent des oppositions en interne4, on n'attend pas forcément grand-chose de la part des employés de grandes boîtes associées depuis longtemps aux politiques sécuritaires (mais si on se trompe, des lanceurs d'alerte peuvent nous écrire ou répondre à l'appel de Mediapart !).

À Nice, autour du projet de Big Data policier, Estrosi appelle aussi à « faire vivre un éco-contexte favorable à l’innovation en renforçant ses collaborations avec de grands groupes industriels, des PME et des start-up locales, notamment liées au réseau de la French Tech, ainsi qu’avec le monde de la recherche et de l’enseignement ». De fait, les acteurs qui participent au développement et à la banalisation de ces outils de surveillance sont nombreux. Côté recherche, l'origine et la structure des financements et les rapprochements marqués des champs sécuritaires et universitaires sont un véritable problème qui devrait interroger (plusieurs des solutions proposées à Nice par le consortium de Thales sont issues des projets de recherche de la Commission européenne ou de l'Agence nationale de la recherche). Quant à la French Tech, peut-être voudra-t-elle bien, dans un futur pas trop lointain, faire connaître sa volonté de ne pas devenir « pigeon des espions » ? Ou pas.

La CNIL attentiste

Dans le Sud-Est, on est habitué aux délires sécuritaires. Mais ne vous y trompez pas : tout le monde risque d'y passer dans un futur proche. À Toulouse, à Valenciennes, à Paris, à Dijon, des initiatives similaires sont achevées ou en cours. La vague de la Smart City policière déferle sur la France.

En janvier dernier, La Quadrature écrivait à la CNIL pour demander un rendez-vous et discuter de l'action du gendarme de la vie privée dans ces dossiers, et notamment du cas marseillais. Les travaux du comité de prospective de la CNIL l'an dernier5, de même que la « jurisprudence » Reporty qui pointait l'absence de base légale, laissaient augurer d'une opposition claire à l'ensemble de ces projets. Après plusieurs demandes et relances, nous avons finalement reçu un courrier (pdf) fin juin, qui a pour le moins douché nos espoirs. Isabelle Falque Pierrotin, présidente de la CNIL, nous y écrit :

La CNIL entend se montrer particulièrement vigilante quant au développement de dispositifs de ce type qui, à l'évidence, sont susceptibles d'engendrer des risques élevés pour les droits et libertés des individus. (...) J'ai adressé au maire de Marseille un courrier soulignant l'impérieuse nécessité de tenir compte du nouveau cadre juridique relatif à la protection des données personnelles, tel qu'issu de la Directive (UE) 2016/680 et du Règlement (UE) 2016/679 du Parlement européen et du Conseil.

S’agissant d'un projet visant à exploiter à grande échelle des données potentiellement identifiantes et à la sensibilité particulière (infractions, santé, situation sociale, localisation, opinions, etc.), au moyen d'un outil technologique innovant axé sur une mécanique de combinaison d'informations issues de sources diverses et collectées à des fins différentes, intégrant également des activités de surveillance, d'évaluation et de prédiction, j'ai tout particulièrement attiré son attention sur l'obligation lui incombant de procéder à une analyse de l'impact du traitement projeté sur la vie privée et les libertés des personnes concernées.

La Commission suivra attentivement la façon dont la Ville a apprécié la pertinence et la proportionnalité des données et opérations auxquels elle envisage de recourir, comme la compatibilité des finalités de réutilisation de ces informations avec celles ayant présidé à leur collecte. Elle s'attachera également à contrôler que l'exploitation de celles-ci, dans les conditions projetées, ne se heurte pas à des dispositions légales encadrant leur traitement et si les intérêts légitimes des individus ont été suffisamment pris en compte. Enfin, elle sera très attentive aux mesures d'encadrement techniques et organisationnelles, prises par la ville pour garantir aux informations un niveau de sécurité approprié.

« Vigilance », « analyse d'impact », « suivi attentif ». Autant le diagnostic technique est juste, autant la réponse esquissée s'apparente à un inquiétant laisser-faire. Pour nous, en jugeant sur la base des documents obtenus, il est évident qu'en l'absence d'un cadre législatif ad hoc, et comme le soulignait la CNIL elle-même dans l'affaire Reporty6, ces dispositifs sont illégaux. À l'heure où tout le monde se gausse de l'entrée en vigueur des nouveaux textes européens sur la vie privée, il est pour le moins surprenant de voir ces nouvelles techniques fondamentalement contraires aux grands principes qui fondent ces textes s'imposer au cœur de nos villes .

Quant aux études d'impact sur la vie privée que la CNIL appelle de ses vœux, les projets en cours ne l'envisagent pas (ou alors en des termes très vagues). Si elles sont finalement menées, tout porte à croire que ce sont les prestataires retenus qui seront priés de les réaliser à l'issue de ces expérimentations... Cette posture attentiste de la CNIL permet juste de temporiser, le temps que Ministère de l'Intérieur nous sorte un projet de loi sur la « police 3.0 » chère à Gérard Collomb, pour venir légaliser le tout7.

Bref, si l'on veut éviter d'être une nouvelle fois mis devant le fait accompli (comme en 2015 avec la loi renseignement), ce n'est pas la vigilance qu'il nous faut, c'est un moratoire sur l'ensemble de ces projets de Smart City policière. Et des gens qui, sur le terrain, puissent tenir en échec ces technocratie obsédée par le contrôle social.


Zwiebelfreunde, la police allemande s'en prend à nos oignons

Thu, 05 Jul 2018 14:50:34 +0000 - (source)

Tribune de Taziden, membre de La Quadrature du Net

Le 20 juin, des perquisitions ont été menées1 chez plusieurs dirigeants de l'association allemande « Zwiebelfreunde ». Tous leurs ordinateurs et supports de stockage (disques durs, clés usb) ont été saisis par la police allemande.

Le motif invoqué ? Ces trois personnes seraient des « témoins » dans le cadre d'une enquête en cours sur un blog appelant à des manifestations anti-fascistes à Augsbourg, toujours en Allemagne. La police considère que ce blog appelle à des actions violentes.

Le lien entre ce blog et Zwiebelfreunde ? Il faut s'accrocher. L'adresse e-mail associée au blog est hébergée par l'organisation américaine Riseup. Et Zwiebelfreunde recueille des dons pour le compte de Riseup. On imagine difficilement une saisie du même acabit chez Google si les personnes à l'origine du blog avaient choisi Gmail.
Un peu comme si le local de La Quadrature du Net ainsi que les domiciles de ses dirigeants avaient été perquisitionnés à cause d'un compte créé sur mamot.fr, l'instance Mastodon de l'association.
Ça n'a aucun sens.

Il s'agit donc d'une attaque claire contre Zwiebelfreunde qui, depuis des années, promeut et facilite l'utilisation d'outils de protection de la vie privée, comme ceux du projet Tor. Elle œuvre à collecter des fonds pour ces projets, Riseup dans le cas présent.
L'argent recueilli par Zwiebelfreunde sert notamment à développer les outils et services fournis par Riseup, à rembourser des frais de déplacement et à maintenir l'infrastructure Tor de Riseup.

Des perquisitions ont également eu lieu au siège de l'association, se trouvant être le bureau d'un avocat, ainsi qu'au domicile d'un ancien dirigeant.
On peine à comprendre un tel déploiement policier et une telle intrusion dans la vie privée de personnes considérées comme « témoins ».

Ne se contentant pas de ces descentes, la police a d'elle-même choisi d'étendre ses recherches au hackerspace d'Augsbourg, OpenLab2. Interprétant le contenu d'un tableau blanc comme décrivant l'élaboration d'une bombe (sic), trois personnes présentes au hackerspace ont été arrêtées et une fouille du local s'en est suivie.
La police a saisi du matériel et forcé les cadenas des armoires du lieu contenant des informations personnelles sur les membres du hackerspace. Il ne fait aucun doute que ces données ont été copiées par la police.
L'accusation de « préparation d'un attentat à l'aide d'explosifs » semble tout aussi ridicule que le motif de « témoin » invoqué dans le cas des dirigeants de Zwiebelfreunde.

Tout comme ces derniers mois avec Bure3, la police allemande semble faire peu de cas des libertés individuelles au profit d'une répression féroce contre les mouvements sociaux et toutes les personnes et organisations pouvant les soutenir, ou fournir une infrastructure indépendante leur permettant de s'organiser.

Cette tendance est inquiétante et elle montre qu'il est plus que jamais important de soutenir les initiatives fournissant des outils et services informatiques permettant de s'organiser en autonomie. Nous pensons notamment à Riseup, Tor, Tails, Nos Oignons mais également à Mastodon, Funkwhale, Peertube, Pixelfed et toute cette vague d'outils décentralisés et fédérés qui ne manqueront pas d'être les prochains à être inquiétés par la police, que ça soit par incompétence ou malice.




Vous avez encore quelques heures pour soutenir le développement de PeerTube, le réseau de streaming vidéo génial et non-centralisé de nos amis de chez Framasoft.

Vous pouvez aussi revoir la vidéo de Lunar, membre du projet Tor et de La Quadrature du Net, qui nous explique pourquoi utiliser Tor.


La Smart City policière se répand comme traînée de poudre

Thu, 05 Jul 2018 08:41:42 +0000 - (source)

En mars, nous levions un bout du voile qui entoure encore le projet orwellien de la « Smart City™ » marseillaise. Mais force est de constater que le cas de Marseille n'est que l'arbre qui cache la forêt. Car la police prédictive et les centres de surveillance policière dopés aux Big Data pullulent désormais sur le territoire français. Une dérive qu'illustre très bien le cas de Nice : la ville de Christian Estrosi, grand obsédé sécuritaire, a fait appel à Engie Inéo et Thalès, par ailleurs concurrents sur ce marché en plein essor, pour deux projets censés faire advenir la « Safe City™ » niçoise. Or, face à cette fuite en avant dans les technologies de contrôle social que nos élus assument sans rougir, la présidente de la CNIL semble trouver qu'il urgent de... suivre la situation. Ce qui revient à laisser faire.

Cet hiver, Christian Estrosi, maire de Nice, a encore fait parler de lui. Il paradait, tout fier du contrat passé avec une entreprise israëlienne pour permettre, via une application smartphone, aux citoyens de se faire auxiliaires de police. Sollicitée par le conseil municipal de la ville, la CNIL a fait savoir fin mars son opposition, pointant le manque de base légale du dispositif ainsi que l'atteinte « disproportionnée » au droit à la vie privée qui en résultait.

Mais cette controverse relayée dans les médias a masqué l'essentiel. Car depuis l'an dernier, Nice aussi se prépare à devenir la Smart City™ du turfu en misant sur des partenariats avec de grandes entreprises des technologies de contrôle. Et on ne parle pas d'une petite boîte israélienne. On parle de Thales, bien connue, ou d'Engie-Inéo, une filiale Big Data du groupe Engie (Suez) (dans lesquelles l'État français détient respectivement 26,4% et 32,76% de parts). On ne parle pas non plus d'une simple « app » permettant de faire entrer le vigilantisme et la délation à l'ère 3.0, non. On parle de centres de contrôle-commande équipés de tout l'attirail moderne pour sonder quantités de bases de données issues des services publics ou d'entreprises privées, surveiller en temps réel l'espace public urbain et ce qui se dit sur les réseaux sociaux, faire de la police « prédictive »...

À Nice, première expérimentation d'Engie Inéo

D'une part, il y a le projet d'Engie Inéo, une expérimentation annoncée à l'été 2017 (on devait être à la plage, on était en tout cas passé à côté), qui aurait pris fin en février 2018. L'an dernier la mairie présentait le projet en ces termes :

ENGIE Ineo expérimentera à Nice une solution globale de sécurité inédite : un centre de contrôle et de commandement basé sur une table tactile et tactique « DECIDE » et la plateforme SenCity.

Le développement progressif de ce dispositif a pour but de mettre à disposition, notamment des autorités policières, une plateforme tactique et tactile pour assurer une coordination globale en temps réel.

(...) En s’appuyant sur les ressources locales et sur l’ensemble des données collectées par la métaplateforme SenCity, (caméras, bornes escamotables, feux de circulation, boutons d’alerte, contrôles d’accès des bâtiments) ce dispositif révolutionne les solutions de sécurité mises à disposition des décideurs.

C'est du « totalement inédit », à en croire Thierry Orosco, Directeur des Stratégies de Sécurité d’Engie Inéo. Ça ressemble à s'y méprendre à ce qui se trame à Marseille, et dont nous soulignions les dangers il y a quelques semaines. Cette « révolution » marque en tout cas une nouvelle étape dans la privatisation des forces de sécurité, alors que ces outils techniques sont appelés à jouer un rôle central non seulement dans la préemption et la répression policières, mais aussi plus largement dans le « management » des forces de l'ordre. C'est d'ailleurs le premier syndicat de la police municipale qui l'écrit, en réaction à l'affaire Reporty : « Il n'est jamais bon, sur le plan moral, de déléguer le service public de la sécurité à des personnes privées ».

La team Thales dans la roue

Quant à Thales, elle semble reprendre le flambeau à la tête d'un consortium qui propose une nouvelle « expérimentation ». Le mois dernier, le conseil municipal de Nice votait en effet une convention d'expérimentation « Safe City », en dépit des critiques d'une partie de l'opposition.

Thales a aussi jeté son dévolu sur le quartier de La Défense en région parisienne. Le groupe se targue de son expérience dans le domaine de la sécurité et du numérique. Non, il ne s'agit pas de la Plateforme nationale des informations judiciaire des interceptions (PNIJ) (qui, pour le coup, est un fiasco total, très coûteux). Il s'agit de « vidéosurveillance intelligente ».

La vidéosurveillance devient « smart »

C'est la grande mode. Après avoir dépensé des centaines de millions d'euros pour des caméras aux résultats insignifiants, les industriels ne jurent désormais que par l'analyse automatique des images. Le ministre de l'Intérieur, Gérard Collomb, s'en faisait le VRP encore récemment, alors qu'il dissertait le 8 juin dernier sur la répression des mouvements sociaux (il parlait des ZAD et des manifestations). Et le ministère amer d'indiquer :

En matière d’exploitation des images et d’identification des personnes, on a encore une grande marge de progression. L’intelligence artificielle doit permettre, par exemple, de repérer dans la foule des individus au comportement bizarre1.

On imagine, demain, ce que donnera l'utilisation de la reconnaissance faciale en lien avec des fichiers biométriques comme le fichier TES dans ces nouveaux dispositifs répressifs. Ce n'est pas céder à la facilité que de dire qu'en la matière, la Chine montre le chemin.

Vers un « Waze de la sécurité »

Dans un nouveau Projet d'expérimentation Safe City », Thales et le consortium qu'il dirige veulent aller plus loin, en créant le « Waze de la sécurité » à la sauce Big Data. Pour aider les « décideurs », il s'agit de « collecter le maximum de données existantes et d'en chercher les corrélations et les signaux faibles » (p. 23), de « développer les nouveaux algorithmes d’analyse et de corrélation permettant de mieux comprendre une situation et de développer des capacités prédictives » (p. 24). Comme à Marseille, la surveillance des réseaux sociaux et autres « données ouvertes » sont en ligne de mire, notamment pour les « textes courts et mal écrits » chers à Twitter qui passeront à la moulinette d'outils d'analyse sémantique pour aider à la gestion des foules, à l'analyse des rumeurs, et le « suivi des actions de certains individus ou groupes de personnes » (là, le spécialiste du consortium est l'entreprise GEOLSemantics).

Les partenaires du projet « Safe City » piloté par Thales.

Certes, pour l'heure, tout cela relève aussi et surtout d'un discours marketing destiné à appâter des élus en mal de sensationnel. Dans l'immédiat, ces projets sont bien des expérimentations, avec des « cas d'usage » relativement délimités. Ils permettent en fait à ces grands groupes de faire financer par l'État et les collectivités françaises, avec l'aide de l'Europe2 ou de la Banque publique d'investissement3, leur recherche et développement, et de disposer de « démonstrateurs » grandeur nature pour alimenter leurs campagnes de marketing sécuritaire.

Smart City policière, realpolitik industrielle ?

Pour ces grands groupes français et leurs émanations institutionnelles telles que le CoFIS (le comité de la filière industrielle de sécurité, organisé au niveau du ministère de l'Intérieur), il s'agit en effet de se positionner dans le marché en plein essor de la Smart City™, alors que les grandes multinationales américaines comme Google ou chinoises comme Huawei sont en embuscade.

Tout cela va évidemment bien au-delà du champ de la sécurité. Dans le viseur, l'ensemble des services publics sont concernés, des transports à l'énergie en passant par la gestion des déchets. Sur tous ces sujets, des entreprises comme Thalès ou Engie Inéo espèrent pousser les ville à faire exploser leurs budgets. Et Pierre Cunéo, en charge de la Stratégie, recherche et technologie chez Tales, de regretter que « pour l'instant pas une ville ne demande de tout mettre en réseau (...). Tout cela ne concerne que la sécurité. Les budgets des villes ne permettent pas encore d'aller plus loin ». Là aussi, ces projets d'expérimentation ont valeur de test pour des stratégies de séduction des agents, et convertir ainsi les services publics à leurs « solutions » et les rendant toujours plus dépendants de l'expertise privée. Avec à la clé pléthore de juteux contrats publics.

Mais revenons-en à la police. Si, aux États-Unis, les incursions de plus en plus marquées des GAFAM dans le complexe militaro-industriel suscitent des oppositions en interne4, on n'attend pas forcément grand-chose de la part des employés de grandes boîtes associées depuis longtemps aux politiques sécuritaires (mais si on se trompe, des lanceurs d'alerte peuvent nous écrire ou répondre à l'appel de Mediapart !).

À Nice, autour du projet de Big Data policier, Estrosi appelle ainsi à « faire vivre un éco-contexte favorable à l’innovation en renforçant ses collaborations avec de grands groupes industriels, des PME et des start-up locales, notamment liées au réseau de la French Tech, ainsi qu’avec le monde de la recherche et de l’enseignement ». De fait, les acteurs qui participent au développement et à la banalisation de ces outils de surveillance sont nombreux. Côté recherche, l'origine et la structure des financements et les rapprochements marqués des champs sécuritaires et universitaires sont un véritable problème qui devrait interroger (plusieurs des solutions proposées à Nice par le consortium de Thales sont issues des projets de recherche de la Commission européenne ou de l'Agence nationale de la recherche). Quant à la French Tech, peut-être voudra-t-elle bien, dans un futur pas trop lointain, faire connaître sa volonté de ne pas devenir « pigeon des espions » ? Ou pas.

La CNIL attentiste

Dans le Sud-Est, on est habitué aux délires sécuritaires. Mais ne vous y trompez pas : tout le monde risque d'y passer dans un futur proche. À Toulouse, à Valenciennes, à Paris, à Dijon, des initiatives similaires sont achevées ou en cours. La vague de la Smart City policière déferle sur la France.

En janvier dernier, La Quadrature écrivait à la CNIL pour demander un rendez-vous et discuter de l'action du gendarme de la vie privée dans ces dossiers, et notamment du cas marseillais. Les travaux du comité de prospective de la CNIL l'an dernier5, de même que la « jurisprudence » Reporty qui pointait l'absence de base légale, laissaient augurer d'une opposition claire à l'ensemble de ces projets. Après plusieurs demandes et relances, nous avons finalement reçu un courrier fin juin, qui a pour le moins douché nos espoirs. Isabelle Falque Pierrotin, présidente de la CNIL, nous y écrit :

La CNIL entend se montrer particulièrement vigilante quant au développement de dispositifs de ce type qui, à l'évidence, sont susceptibles d'engendrer des risques élevés pour les droits et libertés des individus. (...) J'ai adressé au maire de Marseille un courrier soulignant l'impérieuse nécessité de tenir compte du nouveau cadre juridique relatif à la protection des données personnelles, tel qu'issu de la Directive (UE) 2016/680 et du Règlement (UE) 2016/679 du Parlement européen et du Conseil.

S’agissant d'un projet visant à exploiter à grande échelle des données potentiellement identifiantes et à la sensibilité particulière (infractions, santé, situation sociale, localisation, opinions, etc.), au moyen d'un outil technologique innovant axé sur une mécanique de combinaison d'informations issues de sources diverses et collectées à des fins différentes, intégrant également des activités de surveillance, d'évaluation et de prédiction, j'ai tout particulièrement attiré son attention sur l'obligation lui incombant de procéder à une analyse de l'impact du traitement projeté sur la vie privée et les libertés des personnes concernées.

La Commission suivra attentivement la façon dont la Ville a apprécié la pertinence et la proportionnalité des données et opérations auxquels elle envisage de recourir, comme la compatibilité des finalités de réutilisation de ces informations avec celles ayant présidé à leur collecte. Elle s'attachera également à contrôler que l'exploitation de celles-ci, dans les conditions projetées, ne se heurte pas à des dispositions légales encadrant leur traitement et si les intérêts légitimes des individus ont été suffisamment pris en compte. Enfin, elle sera très attentive aux mesures d'encadrement techniques et organisationnelles, prises par la ville pour garantir aux informations un niveau de sécurité approprié.

« Vigilance », « analyse d'impact », « suivi attentif ». Autant le diagnostic technique est juste, autant la réponse esquissée s'apparente à un inquiétant laisser-faire. Pour nous, en jugeant sur la base des documents obtenus, il est évident qu'en l'absence d'un cadre législatif ad hoc, et comme le soulignait la CNIL elle-même dans l'affaire Reporty6, ces dispositifs sont illégaux. À l'heure où tout le monde se gausse de l'entrée en vigueur des nouveaux textes européens sur la vie privée, il est pour le moins surprenant de voir ces nouvelles techniques fondamentalement contraires aux grands principes qui fondent ce texte s'imposer au cœur de nos villes .

Quant aux études d'impact sur la vie privée que la CNIL appelle de ses vœux, les projets en cours ne l'envisagent pas (ou alors en des termes très vagues). Si elles sont finalement menées, tout porte à croire que ce sont les prestataires retenus qui seront priés de les réaliser à l'issue de ces coûteuses expérimentations... Cette posture attentiste de la CNIL permet juste de temporiser, le temps que Ministère de l'Intérieur nous sorte un projet de loi sur la « police 3.0 » chère à Gérard Collomb, pour venir légaliser tout cela7.

Bref, si l'on veut éviter d'être une nouvelle fois mis devant le fait accompli (comme en 2015 avec la loi renseignement), ce n'est pas la vigilance qu'il nous faut, c'est un moratoire sur l'ensemble de ces projets de Smart City policière. Et des gens qui, sur le terrain, puissent tenir en échec ces technocratie obsédée par le contrôle social.

Fichier attachéTaille
courrier_CNIL_marseille_anon.pdf143.88 Ko
Convention_expérimentation_SafeCity_Nice.pdf2.52 Mo
Deliberation14091.pdf52.93 Ko

Demain, le Parlement européen devra s'opposer au filtrage automatisé

Wed, 04 Jul 2018 09:31:31 +0000 - (source)

4 juillet 2018 - Demain, l'ensemble du Parlement européen votera sur la nouvelle directive Copyright. Il y a deux semaines, la commission « Affaires juridiques » du Parlement a adopté un premier texte, obligeant les plateformes commerciales à activement bloquer les contenus qui, envoyés par leurs utilisateurs, sont soumis à droit d'auteur. Demain, le Parlement doit rejeter ce texte.

Le 20 juillet, la commission « Affaires juridiques », qui réunit 25 eurodéputés, a arrêté une première position sur la directive Copyright. La majorité de ses membres a adopté un article 13 imposant des techniques de filtrage automatisé sur les plateformes commerciales qui publient et « optimisent » la présentation des contenus envoyés par leurs utilisateurs. YouTube ou Facebook ont déjà mis en place de telles techniques de filtrage depuis longtemps : cet article 13 les rendrait légitimes.

Nos communications publiques ne doivent jamais être régulées au moyen de mesures automatisées, que ce soit pour « protéger des droits d'auteur » ou pour lutter contre les discours de haine ou les « fakenews ». Les comportements humains ne doivent pouvoir être encadrés que par des humains, et ce d'autant plus lorsque des libertés fondamentales sont en jeu.

Demain, à midi, l'ensemble des 750 eurodéputés pourront et devront rejeter un tel solutionnisme technologique, qui ne ferait que renforcer des géants de l'Internet déjà surpuissants. Une fois rejeté, l'actuel texte sera renégocié par le Parlement.

Appelez aujourd'hui les eurodéputés : demandez-leur de renégocier la directive Copyright !

La Quadrature du Net se réjouit à l'idée que des plateformes commerciales non-neutres puissent être soumises à des règles différentes de celles encadrant les services neutres ou non lucratifs. Mais cette distinction ne doit en aucun cas légitimer la censure actuellement imposée par une poignée d'entreprises sur de larges pans du Web. Les futures négociations sur la directive Copyright devront interdire toute mesure de filtrage automatisé plutôt que d'en imposer.


Plaintes massives dans toute l'Europe contre la rétention illégale de nos données

Mon, 25 Jun 2018 11:12:09 +0000 - (source)

25 juin 2018 — 62 associations, fournisseurs d'accès Internet associatifs, universitaires et militants envoient ensemble une lettre ouverte à la Commission européenne et déposent plusieurs plaintes contre la législation de dix-sept États membres en matière de conservation généralisée des données.

Quels sont les enjeux ?

La « rétention généralisée des données » est l'obligation imposées aux opérateurs de télécommunications (téléphonie et Internet) de conserver les données de connexion (numéros appelés, adresses IP, données de localisation, d'identité) de l'ensemble de leurs utilisateurs pendant plusieurs mois ou plusieurs années (selon la loi de chaque État). Cette conservation s'applique à toute personne, même si elle n'est suspectée d'aucun crime ou délit.

Dix-sept États membres de l'Union européenne prévoient toujours une telle rétention généralisée dans leur droit national.

Pourquoi est-ce contraire au droit de l'Union européenne ?

La Cour de justice de l'Union européenne a clairement jugé qu'une telle conservation généralisée et indifférenciée des données était contraire au droit à la vie privée, à la protection des données personnelles et la liberté d'expression et d'information – protégées par la Charte des droits fondamentaux de l'Union européenne.

Pour la Cour, ces mesures de surveillance généralisées sont inacceptables.

Quel est notre but ?

En l'espèce, le droit de l'Union européenne, censé prévaloir sur les lois nationales, est plus protecteur de nos droits et libertés. Nous souhaitons le faire appliquer et que les régimes de conservation généralisée des données encore en vigueur dans dix-sept États membres soient abrogés.

Pour cela, nous avons envoyé des plaintes à la Commission européenne afin de l'inviter à enquêter sur l'affaire et saisir, à terme, la Cour de justice de l'Union européenne (CJUE) pour sanctionner directement chacun des États violant le droit européen. Pour expliquer notre démarche, nous accompagnons ces plaintes d'une lettre ouverte commune, portée par plus de 60 signataires dans 19 pays de l'Union, également envoyée à la Commission européenne.

Téléchargez notre lettre ouverte

Comment aider ?

Vous aussi, envoyez une plainte à la Commission européenne ! Il vous suffit de reprendre ce modèle, de mettre vos coordonnées et de l'envoyer à cette adresse e-mail : SG-PLAINTES@ec.europa.eu

En plus, c'est sans risque, sans frais et à la portée de chacun·e.

Telecharger le formulaire de plainte

Retrouvez toutes les informations sur http://stopdataretention.eu/


Directive Copyright : combattons le filtrage automatisé... et la centralisation du Web !

Tue, 12 Jun 2018 11:04:59 +0000 - (source)

12 juin 2018 - Le 20 juin prochain, le Parlement européen arrêtera sa décision sur la directive Copyright, symbole d'une nouvelle période de régulation de l'Internet. La Quadrature du Net vous invite à appeler les eurodéputés pour exiger qu'ils agissent contre l'automatisation de la censure au nom de la protection du droit d'auteur et, plus largement, contre la centralisation du Web.

Pour comprendre la décision complexe qui se jouera le 20 juin, il faut d'abord revenir sur les base de la régulation des contenus diffusés sur Internet.

Un équilibre incertain

La directive « eCommerce » adoptée en 2000 par l'Union européenne a posé les fondements de la régulation des contenus diffusés sur Internet. Elle crée le principe suivant : si vous hébergez et diffusez du texte, des images ou des vidéos fournis par des tiers et que ces contenus sont illicites (car portant atteinte au droit d'auteur, étant sexistes ou racistes, faisant l'apologie du terrorisme, etc.), vous n'en êtes pas responsable. Cette absence de responsabilité exige toutefois deux choses : que vous n'ayez pas eu un rôle actif dans la diffusion des contenus (en les hiérarchisant pour en promouvoir certains, par exemple) et que, si on vous signale un contenu « illicite », vous le retiriez « promptement ». Si vous échouez à respecter ces conditions, vous pouvez être considéré comme ayant vous-même publié le contenu.

Cet équilibre, particulièrement incertain (l'évaluation de « illicite » et de « promptement » étant bien difficile), s'est appliqué indistinctement pendant vingt ans à tous les hébergeurs. Ceux qui nous louent les serveurs où diffuser nos sites Internet (l'entreprise française OVH en est un bon exemple) ; les forums et les wiki où nous partageons nos expériences et nos savoirs ; les réseaux non-centralisés tels que Mastodon ou PeerTube ; et, bien sûr, les géants du Web - Facebook et autres YouTube, qui semblent avoir enfermé entre leurs mains la plus grande partie de nos échanges publics.

Cet équilibre s'est rompu au fur et à mesure que ces géants ont abandonné toute idée de rester neutres : assumant aujourd'hui leur rôle actif, ils hiérarchisent tous les contenus qu'ils diffusent selon des critères économiques (mettant en avant les publicités de ceux qui les paient ainsi que les contenus qui nous feront rester chez eux le plus longtemps) ou politiques (Facebook ayant par exemple une lourde politique de censure de la nudité).

En théorie, comme on l'a vu, le filtrage généralisé du débat public, qui repose souvent sur l'application automatique de ces critères économiques et politiques, devrait les rendre responsables de tous les contenus qu'ils diffusent. En pratique, toutefois, on comprend pourquoi ce principe n'est pas vraiment appliqué : il inciterait ces géants à censurer tout discours potentiellement illicite, limitant drastiquement les capacités d'expression des millions de personnes qui les utilisent encore pour participer au débat public, bon gré mal gré. Le droit semble donc imparfait, car étant trop strict en théorie pour s'appliquer en pratique.

Filtrage automatique

En septembre 2016, pour répondre à une partie de ce problème, la Commission européenne a proposé une « directive Copyright ».

L'article 13 de ce texte entend créer de nouvelles règles pour les gros hébergeurs - qui diffusent un « grand nombre d'œuvres ». Ceux-ci devraient passer des accords avec les ayants droit des œuvres qu'ils diffusent, afin de définir les modes de répartition des revenus (publicitaires ou d'abonnement) avec ceux-ci ou de prendre des mesures pour empêcher la diffusion de contenus signalés par ces derniers.

Le texte mentionne des « techniques efficaces de reconnaissance des contenus », faisant clairement référence au Content ID déployé sur YouTube depuis dix ans - outil qui permet à Google de détecter automatiquement les œuvres publiées sur son site afin de permettre à leurs ayants droit d'empêcher ou de permettre leur diffusion (auquel cas contre rémunération).

Les propositions de la Commission doivent connaître les mêmes critiques que celles portées depuis des années contre YouTube : elles reportent tous les équilibres de la régulation sur des outils automatisés, présentés en solution miracle. Ignorant toutes les subtilités des comportements humains, ces outils censurent un peu tout et n'importe quoi au gré des bugs techniques, de critères mal calibrés et de logiques absurdes, et neutralisent au passage l'exercice légitime des exceptions au droit d'auteur (droit de citation, de parodie...).

Pour saisir l'importance de ce débat, il faut bien comprendre que ces filtrages automatisés sont déjà largement déployés et vantés par Facebook ou Google, au-delà de la question du droit d'auteur, pour prétendre lutter contre tout type de contenus illicites. Nombre de gouvernements semblent ici aussi tentés de leur emboîter le pas.

La directive Copyright ne doit pas légitimer et généraliser ce solutionnisme technologique, automatisant nos relations sociales et traitant les humains comme de quelconques machines laissées aux mains de quelques entreprises privées. Au contraire, le débat d'aujourd'hui doit être l'opportunité de limiter le recours qu'en font les géants du Web et de contester l'emprise qu'ils exercent sur notre monde.

Une nouvelle distinction

Le 25 mai dernier, les États membres de l'Union européenne ont arrêté leur position sur la directive Copyright. Cette position comporte un ajout décisif en créant clairement une nouvelle catégorie d'acteurs : toute personne qui, hébergeant et diffusant un large nombre d'œuvres, organise et promeut celles-ci à des fins lucratives - qui a un « rôle actif » dans leur présentation.

Cette nouvelle catégorie est instaurée pour échapper à la protection offerte par le directive « eCommerce » de 2000, sans toutefois être soumise à un régime de responsabilité systématique. Il s'agit donc d'une catégorie intermédiaire, entre « tout » et « rien », qui pourrait résoudre nombre des problèmes apparus ces vingts dernières années. Appelons « plateformes » cette nouvelle catégorie d'acteurs car, même si le terme est aussi générique que vague, il semble être celui que la pratique et les discours officiels commencent à consacrer.

Selon la position des États membres, ces plateformes devraient être responsables des œuvres qu'elles diffusent sans l'autorisation des ayants droit si elles n'ont pas mis en place de système qui, dans la mesure de leurs moyens, aurait pu empêcher leur mise en ligne. L'idée d'un filtrage automatique tel que le « Content ID » n'est pas écartée, mais son recours y est moins explicitement visé.

De son côté, le Parlement européen arrêtera sa position le 20 juin prochain, au sein de sa commission « Affaires juridiques » (JURI). Au terme de longs débats, le rapporteur du texte, Axel Voss (PPE, Allemagne), semble vouloir reprendre les ajouts proposés par les États membres (voir ses dernières propositions publiées), ainsi qu'ajouter une précision nouvelle : la censure opérée par les plateformes ne doit pas conduire au filtrage de contenus qui ne contreviennent pas à un droit d'auteur, ni au déploiement d'une surveillance généralisée des contenus mis en ligne. La distance mise avec le filtrage automatique généralisé se dessine un peu plus. Il est cependant crucial qu'elle figure de manière explicite dans le texte final de même qu'un seuil clair soit fixé (de contenus diffusés, d'utilisateurs inscrits, etc.) de manière à avoir la certitude que le dispositif concernera surtout le problème de la centralisation.

Enfin, les propositions d'Axel Voss précisent certaines garanties contre des censures arbitraires ou abusives : un mécanisme de contestation rapide auprès de la plateforme, ainsi que la possibilité de saisir un juge afin de faire valoir des exceptions au droit d'auteur qui rendraient le filtrage injustifié. Il faudrait néanmoins aller bien plus loin, car faire peser sur les internautes la charge de saisir le juge pour faire valoir leurs droits est encore trop lourd, vu le déséquilibre des parties en présence. Mieux vaudrait inverser les règles en cas de contestation d'une demande de retrait : les contenus censurés doivent revenir en ligne quand un utilisateur estime être dans son bon droit, et c'est aux ayants droit de saisir la justice pour obtenir le retrait définitif, sous le contrôle d'un juge.

Un compromis décevant

Ces différentes propositions, au lieu de légitimer clairement le modèle de régulation automatisée qui fonde la puissance de géants du Web, pourraient au contraire commencer à l'encadrer et à en limiter les effets. Mais ne nous réjouissons pas : la régulation automatisée, plutôt que d'être mollement encadrée à la marge comme ici, devrait être entièrement déconstruite et bannie - il n'en est rien pour l'instant. De plus, la position du Parlement européen reste à faire, et celui-ci pourrait très bien retomber dans le solutionnisme technologique qui a animé tant de décisions récentes.

Jusqu'au 20 juin, La Quadrature du Net vous invite donc à appeler les eurodéputés pour exiger :

  1. que les nouvelles obligations en matière de droit d'auteur ne concernent que des hébergeurs qui hiérarchisent les contenus à des fins lucratives et qui atteignent un certain seuil fixé de manière claire ;
  2. que ces obligations ne se transforment jamais en filtrage automatisé, qui doit être clairement interdit ;
  3. que la charge de saisir la justice pour faire valoir ses droits en cas de demande de retrait pèse sur les ayants droit et non sur les internautes.

Si le texte s'arrête sur ce compromis, le pire sera peut-être évité, mais cette directive Copyright n'en restera pas moins un échec, car le débat s'est encore une fois focalisé sur des mesures répressives et régressives, alors qu'il s'agissait à la base de réfléchir les équilibres du droit d'auteur à l'heure du numérique. Cette ambition a été abandonnée avec le rejet par le Parlement européen des propositions du Rapport Reda, qui étaient elles-mêmes déjà en retrait par rapport aux propositions de la Quadrature du Net sur la réforme du droit d'auteur.

Un nouvel équilibre

Comme on l'a dit, ce débat dépasse largement celui du droit d'auteur. Il concerne la régulation des hébergeurs dans son ensemble, en matière de lutte contre les « fake news », contre la diffusion de la haine, contre la propagande terroriste, etc., tel qu'on le voit de plus en plus vivement discuté. Il concerne la façon dont chacun et chacune peut accéder au débat public, pour s'y exprimer comme s'y informer.

Tous ces enjeux connaissent un ennemi commun : la centralisation du Web, qui a enfermé la très grande majorité des internautes dans des règles uniques et rigides, qui n'ont que faire de la qualité, de la sérénité ou de la pertinence de nos échanges, n'existant que pour la plus simple recherche du profit de quelques entreprises.

L'une des principales causes de cette centralisation est le frein que le droit a longtemps posé contre l'apparition de son remède - le développement d'hébergeurs non-centralisés qui, ne se finançant pas par la surveillance et la régulation de masse, ne peuvent pas prendre le risque de lourds procès pour avoir échoué à retirer « promptement » chaque contenu « illicite » qui leur serait signalé. Des hébergeurs qui, souvent, peuvent à peine prendre le risque d'exister.

La condition du développement de tels services est que, enfin, le droit ne leur impose plus des règles qui depuis vingt ans ne sont presque plus pensées que pour quelques géants. Prévoir une nouvelle catégorie intermédiaire dédiée à ces derniers offre l'espoir de libérer l'Internet non-centralisé du cadre absurde dans lequel juges et législateurs l'ont peu à peu enfermé.


Digital labour et travail domestique : quand l’exploitation capitaliste s’étend aux hommes blancs

Fri, 08 Jun 2018 15:21:09 +0000 - (source)

Tribune de Ag3m, membre de La Quadrature du Net

08 juin 2018 - Force est de constater bien des ponts entre les discours des défenseurs des libertés numériques et les analyses féministes intersectionnelles. Les descriptions de l’exploitation de nos données et de notre travail par les GAFAM et autres géants du Net font écho à celles de l’exploitation des femmes et des personnes racisées et minorisées. Faire le pont entre ces analyses pourrait-il nous permettre d’appuyer notre militantisme sur les réflexions et les outils créés contre la domination patriarcale et raciste, pour les adapter aux situations d’exploitation économique capitaliste plus larges ?

Utilisation des données personnelles et échange des femmes

On connait bien, parmi les militants de la défense des libertés numériques, la formule « Si c’est gratuit, c’est toi le produit ! », un adage qui cherche à visibiliser la ressource économique que constitue l’exploitation des données personnelles des utilisateurs par les sites internet, et en particulier les GAFAM.

Alors les GAFAM utiliseraient les données personnelles pour vendre des profils utilisateurs. C’est marrant, ça me rappelle d’autres situations.

Au XVIIème et XVIIIème siècle se développent les agences matrimoniales.1 Elles sont alimentées par les familles ou les employés de maison qui leur vendent des informations sur les jeunes filles à marier dans le foyer. Les agences matrimoniales récupèrent, trient, reformulent et enfin revendent ces informations sous forme de service de mise en relation pour les jeunes gens qui cherchent une épouse.

L’analyse du mariage comme mise en vente des femmes n’est pas une idée neuve. En 1947, Claude Lévi-Strauss développe la théorie générale de l’échange,2 c’est-à-dire l’idée que notre société est basée sur le principe fondamental de l’échange des femmes entre les familles. Celles-ci tissent des liens, développent leur capital économique et leur pouvoir politique en mariant les jeunes filles. Elles s’échangent ainsi les femmes, leur force de travail lorsqu’elles aident leurs maris, leur travail de tenue de la maison, de procréation, d’intimité, … Dans Caliban et la sorcière : Femmes, corps et accumulation primitive3, Sylvia Federici montre que cette exploitation des femmes se développe en même temps que le système capitaliste, comme base même de ce système où les individus sont répartis entre classes sociales où certains dépendent d’autres. Les travailleurs dépendent des propriétaires des moyens de production, les femmes dépendent des hommes, les esclaves racisés des colonies dépendent des maîtres blancs.

Revenons à l’exemple des agences matrimoniales. C’est donc tout un marché qui s’organise. Les femmes sont mises en valeur à travers la publication de leur dot, puis par les petites annonces et les agences.

Un peu plus tard, au XIXème siècle, la culture épistolaire se développe : les gens commencent à écrire et à échanger des lettres ou à tenir des journaux intimes dans lesquelles ils se racontent. Les petites annonces sont désormais écrites par les gens eux-mêmes qui se mettent en valeur, présentent leur meilleur profil, et cherchent à rencontrer la bonne personne. Facebook much ?

Les technologies numériques que nous utilisons aujourd’hui, Facebook, Instagram, Twitter, LinkedIn, ne sont donc que la continuité de cette dynamique de nous mettre en avant sous notre plus beau jour pour trouver la bonne personne. Mais cette fois, il ne s’agit plus de vendre uniquement des femmes ou des personnes racisées, mais bien n’importe quel profil utilisateur, y compris ceux des hommes blancs, cisgenres et hétérosexuels de classe bourgeoise, si habitués à pouvoir choisir plutôt qu’à être choisis.

Espace numérique et espace intime

L’espace numérique est devenu notre nouvel espace intime : celui dans lequel nous vivons quotidiennement, où nous nous racontons à nous-mêmes, à nos amis, à nos proches, et parfois à un public plus large.

De la même manière que les femmes, bien que reléguées au foyer, sont observées, surveillées dans toutes leurs actions, les utilisateurs sont étudiés, analysés, contraints à suivre les règles de la plateforme et de la communauté dans laquelle ils évoluent.

La frontière entre « privé » et « public » est ténue. Ainsi, les questions dites « privées » de la contraception, de l’avortement, du viol conjugal ont été débattues dans l’espace public. Ainsi, encore aujourd’hui, des manifestations et des débats publics continuent de discuter de ce que chacun fait chez lui, du droit à certaines sexualités ou à certaines familles d’être reconnues.

De la même manière, on juge aujourd’hui sur SnapChat de l’apparence des jeunes filles, Facebook sait qui nous avons invité chez nous et nos commentaires apparaissent sur Youporn.

On entend parfois que l’espace numérique brouille la frontière entre privé et public, et pourtant on pourrait plutôt dire qu’il rend évidente la sentence politique des féministes de la seconde vague : « le privé est politique4 ». L’espace intime, et celui des femmes en particulier, est depuis longtemps l’affaire de tous, et il est, en particulier, l’affaire d’experts masculins (politiques, médecins, …) qui savent mieux qu’elles-mêmes ce dont elles ont besoin, et ne se privent pas de les examiner constamment, parfois sans leur consentement5.

La vie privée de chacun est désormais l’affaire des algorithmes et des publicitaires. Les assistants personnels et autres mouchards s’introduisent chez nous, écoutent en permanence tout ce que nous disons (sinon comment entendre « ok Google » lorsqu’il est prononcé ?), analysent nos comportements et nous proposent des solutions avant même que nous y pensions6.

De la même manière que la mise sous tutelle des femmes s’est faite pour le bien de la société, pour les protéger et les préserver, ces nouvelles technologies sont présentées sous l’angle des services qu’elles nous rendent et de la productivité qu’elles nous apportent.

Pourtant, en pratique, entre les défenseurs de la liberté qui luttent contre l’hégémonie des GAFAM et les féministes qui veulent accéder à l’autonomie et l’empowerment, les liens ne sont pas évidents.

Digital labour et travail domestique

De la même manière le digital labour7 s’inscrit dans cette continuité de l’exploitation surveillée.

Le travail des femmes, permanent et invisible, fait tourner la société en assurant la stabilité du foyer et celle, émotionnelle, du travailleur, et donc toutes les coulisses de la société capitaliste8.

Ce travail est volontaire, non par charité, mais par dépendance. En travaillant pour leur mari, les femmes bénéficient de son statut et de ressources auxquelles elles ne peuvent pas accéder par elles-mêmes. De la même manière que les utilisateurs de Google Maps fournissent leurs données à un système dont ils dépendent entièrement et auquel ils ne peuvent pas construire d’alternatives.

Il est bien sûr possible de chercher, autant que faire se peut, des alternatives à cette situation de dépendance. En utilisant Mastodon plutôt que Twitter, Diaspora plutôt que Facebook, un fournisseur d’email associatif plutôt que Gmail… Ce faisant, les utilisateurs gagnent en indépendance, mais se privent d’un certain nombre de fonctionnalités auxquelles ont accès la majeure partie de la société. Ce faisant, ils créent un réseau, parallèle et minoritaire, et dépensent plus d’énergie et de ressources pour accéder aux fonctionnalités dont ils ont besoin, y compris en termes d’accès au réseau social ou aux informations.

Les femmes de la renaissance, pouvaient, si elles le souhaitaient, ne pas se marier. Elles devenaient alors le plus souvent vagabondes, étaient privées de ressources financières, puisque moins payées que leurs collègues masculins, voire privées d’un accès à un travail, les reléguant à des métiers en périphérie de la société : prostituées, vendeuses itinérantes, … Privées de la sécurité (relative) garantie par le système familial, elles s’exposaient également à de nombreux risques, allant jusqu’à l’accusation de sorcellerie (et donc à la condamnation à mort). Elles intégraient alors des réseaux souterrains d’entraide et d’échanges de services, qui compensaient maigrement les discriminations sociales et économiques liées à leur statut.

Les femmes mariées, elles, contribuaient (et continuent à contribuer) à la force de travail de la société. Comme les micro-travailleurs du clic aident les intelligences artificielles ou décodent du texte sur des Captcha, les femmes aidaient leurs maris à accomplir leur travail, suppléant à toutes les tâches qu’ils ne pouvaient réaliser seuls. Elles animaient la vie du foyer, le tenant propre et rangé, prenant soin qu’il soit accueillant, qu’il y ait à manger, … Tout comme les utilisateurs sont amenés à prendre soin de leurs réseaux, en participant bénévolement à la modération des forums et discussions auxquels ils participent (coucou Webedia), en alimentant de leurs contenus les différentes plateformes à leur disposition, …

Conclusion

Tant que le travail du care et de la création de contenu exploitable (tu le vois le lien avec la procréation ?) ne pourra être effectué par les robots, il restera l’apanage des femmes et, de plus en plus, il s’agira de mettre tout le monde au travail, grâce à la subdivision en micro-tâches, de l’éducation des IA à l’animation de la communauté. On pourrait penser à une démocratisation de ce travail invisible et sous-valué.

Pourtant, on reste encore dans une configuration où le travail technique reste un milieu ultra masculin, où sont reconnus et parfois rémunérés les développeurs et administrateurs systèmes, tandis que le travail invisible et quotidien, traditionnellement féminin, se répartit sur tous les « prolétaires du clic », dont le travail n’est pas ou peu rémunéré, sauf à être dans les bons cercles, à avoir le bon réseau social, bref la bonne classe sociale qui permet d’avoir de la street cred et de monnayer la reconnaissance sociale.

Entre rapports de genre et rapports de classe, les relations de pouvoir dans le monde numérique ne semble pas pouvoir se passer des outils du féminisme intersectionnel et, plus largement, d’une analyse matérialiste des rapports de pouvoirs entre tous les acteurs du Net.

Retrouver la publication originale de cette tribune sur ce blog.


Surveillance : Macron lâche la bride des services de renseignement

Tue, 05 Jun 2018 15:09:05 +0000 - (source)

5 juin 2018 — Alors que La Quadrature du Net dénonçait il y a quelques semaines l'instauration de nouvelles mesures de surveillance au nom de la lutte contre la cybercriminalité dans la loi de programmation militaire en cours d'examen au Parlement, le gouvernement d'Emmanuel Macron persiste et signe.

Cette fois, il s'agit de toucher à la loi renseignement, en ouvrant aux services de renseignement intérieurs (notamment la DGSI) les montagnes de données accumulées par la DGSE dans le cadre de son dispositif de surveillance massive des communications Internet dites « internationales ». Et parce qu'il est toujours préférable de contourner le débat public lorsqu'on touche à la surveillance d'État, c'est en catimini, par voie d'amendement, que le gouvernement a choisi de procéder, non sans compter le soutien de quelques parlementaires complices.

Déni de réalité, déni démocratique

Le 22 mai dernier au Sénat, la ministre des Armées Florence Parly présente dans l'hémicycle un amendement au projet de loi de programmation militaire, déjà adopté en première lecture à l'Assemblée. À première vue, c'est sensible, puisqu'il s'agit de toucher au livre VIII du code de la sécurité intérieure, celui qui encadre les activités des services de renseignement. Mais la ministre se veut rassurante :

« Le Gouvernement ne souhaite évidemment pas, par le biais d’un amendement au détour du projet de loi relatif à la programmation militaire, remettre sur le métier la loi relative au renseignement. C’est un chantier qui nous occupera plutôt en 2020 et auquel il paraît indispensable d’associer étroitement la délégation parlementaire au renseignement, la DPR.

Je vous propose donc, mesdames, messieurs les sénateurs, de permettre simplement une utilisation plus rationnelle des données légalement recueillies dans le cadre de la surveillance des communications internationale. Nous ne donnons pas aux services de nouveaux moyens de collecte ni ne modifions en profondeur les équilibres retenus en 2015 ».

Il s'agit donc d'être « rationnel » sans toucher aux « équilibres retenus en 2015 » – équilibres déjà bien précaires et dûment attaqués devant les juridictions françaises et européennes1. Un petit patch bureaucratique pour faire en sorte de fluidifier le travail des services et qui, comme nous l'apprend la ministre, a été validé par la Commission nationale de contrôle des techniques de renseignement (la CNCTR) et par le Conseil d'État dans leurs avis respectifs sur l'amendement proposé.

Sauf que ces propos tiennent plus du déni de réalité, voire d'une volonté manifeste de tromper son monde. Car loin d'être anecdotique, l'amendement transforme radicalement les fameux « équilibres » de la loi renseignement.



OOOoops
Serveurs du Groupement Interministériel de Contrôle, basé aux Invalides (Bruno Coutier - L'Obs)


Surveillance intérieure / surveillance extérieure

Pour le comprendre, quelques rappels sont de rigueur.

Traditionnellement, les activités de surveillance d'un État envers les personnes résidant sur son territoire sont plus étroitement encadrées que les activités de surveillance dite « internationale », c'est-à-dire celle touchant des personnes situées hors du territoire national. C'est donc dans le cadre des activités de surveillance internationale que les programmes de surveillance les plus « massifs » se sont d'abord développés (par exemple le programme UPSTREAM de la NSA, le programme TEMPORA du GCHQ britannique, ou le programme similaire lancé à partir de 2008 par la DGSE française pour collecter à grande échelle le trafic Internet au niveau des câbles sous-marins, et l'exploiter à l'envie par la suite2).

Dans les hautes sphères de l'État, ce principe continue d'être défendu. Ainsi, dans son rapport annuel de 2014 sur les libertés à l'ère numérique, le Conseil d'État notait :

« Le fait que les garanties entourant l’interception des communications soient moindres lorsqu’elles se situent à l’étranger plutôt que sur le territoire se justifie (...). (...) Dès lors que les personnes situées à l’étranger échappent à la juridiction de l’État, l’interception de leurs communications n’est pas susceptible de porter atteinte à leurs droits dans la même mesure que si elles se situaient sur le territoire ; elles ne peuvent en particulier faire l’objet de mesures juridiques contraignantes qui se fonderaient sur les éléments collectés »3.

C'est en vertu de ces arguments que, en 2015, la loi renseignement a prévu un régime juridique beaucoup plus lâche pour la surveillance internationale : le Premier ministre autorise l'interception non-ciblée de vastes quantités de données associées à une région du monde, à des organisations, groupes de personne, etc. ; ces données sont conservées pendant beaucoup plus longtemps que dans le cadre de la surveillance nationale ; elles peuvent faire l'objet d'analyse « en masse » des données via des traitements « Big Data » (ce que, soit dit en passant, la DGSI a également commencé à faire depuis quelques mois grâce aux algorithmes de Palantir sur les données saisies dans le cadre de l'état d'urgence, et ce en dehors de tout cadre juridique4).

Or, comme le rappelait dès 2013 la coalition internationale « Necessary and Proportionate » en réponse aux révélations d'Edward Snowden, cette distinction national/international n'a plus lieu d'être. À l'heure où les communications Internet sont par nature transfrontières (même lorsque j'échange un mail avec ma voisine, il est probable qu'il transite via l'étranger), et où les doctrines du renseignement font de moins en moins la différence entre menace extérieure et « ennemi intérieur », les arguments qui la fonde son caducs. En outre, comme le rappelaient La Quadrature du Net, FFDN et FDN dans leur mémoire envoyé en 2015 au Conseil constitutionnel alors que celui-ci se penchait sur la loi renseignement, cette distinction revient au plan juridique à bafouer l'universalité des droits5. De notre point de vue, il s'agirait donc d'abolir tout simplement le régime dérogatoire de surveillance internationale pour faire appliquer à toutes et tous le régime le plus protecteur : celui associé à la surveillance nationale.

L'extension du régime dérogatoire de la surveillance internationale

Mais, comme on pouvait le redouter, non seulement le régime de la surveillance internationale tient bon, mais il est en fait en train de devenir le dénominateur commun pour l'ensemble du champ du renseignement.

Certes, dès 2015, la loi renseignement ouvrait la voix à de telles évolutions. Les dispositions régulant les usages du puissant système de surveillance de la DGSE prévoyaient déjà la possibilité de surveiller des communications « rattachables au territoire national » (via leurs identifiants techniques comme l'adresse IP ou le numéro de téléphone) dès lors que les communications en question traversaient les frontières. Mais à ce jour ces formes de surveillance étaient uniquement possible pour les résidents français situés hors du territoire national.

Ici, il s'agit d'aller encore plus loin. En vertu de l'amendement adopté au Sénat, et comme l'explique la ministre :

« Nous voulons d’abord permettre l’exploitation des données d’un identifiant technique rattachable au territoire national interceptées dans le cadre de la surveillance des communications internationales, alors même que son utilisateur est en France6

Il s'agit notamment d'ouvrir aux services de renseignement intérieur les vannes du vaste système de surveillance déployé par la DGSE depuis 2008, et dans lequel l'État a depuis investi près de 1,5 milliards d'euros. Cela permet en effet d'accéder à quantité de données qui, dans le cadre strictement national, étaient plus difficilement exploitables7.

Remonter le passé pour confirmer des suspicions

Mais ce n'est pas tout. Le gouvernement a également souhaité autoriser des opérations de surveillance dites de « levée de doute ». Et la ministre d'expliquer :

« La levée de doute prendra la forme d’une vérification ponctuelle sur les données de connexion légalement interceptées dans le cadre de la surveillance des communications internationales.

Il s’agit d’opérations très rapides, non répétées et susceptibles de mettre en évidence un graphe relationnel ou la présence à l’étranger d’une personne, qui pourra alors être surveillée si elle présente une menace. Dès que la vérification fera apparaître la nécessité d’une surveillance, l’exploitation des communications ne pourra être poursuivie que via les techniques de renseignement inscrites dans la loi de 2015 ».

En gros, les services utilisent un ou plusieurs « sélecteurs » ou « identifiants » correspondant à des personnes ou groupes de personnes situés à l'étranger, avec lesquels on va sonder les bases de données pour établir le graphe social et tenter de faire émerger les données de suspects résidant en France8. On peut ensuite se livrer à une surveillance plus poussée de ces suspects dans le cadre du régime de surveillance nationale (en demandant par exemple une autorisation pour procéder à une interception de sécurité)9.

L'amendement inaugure également deux régimes dérogatoires à ce dispositif de « levée de doute », qui permettent non pas de constituer ces graphes à partir d'identifiants « étrangers », mais à partir d'identifiants directement rattachables au territoire national : l'un en cas de « menace terroriste urgente », l'autre s'agissant « d'éléments de cyberattaques susceptibles de porter atteinte aux intérêts fondamentaux de la Nation »10.

Au plan opérationnel, ces opérations de levée de doutes poursuivent la même logique « exploratoire » que les boîtes noires de l'article L. 851-3 ou la surveillance en temps réel des données de connexion du L. 851-2 (elle aussi sont des manières de repérer des signaux faibles, en préalable d'une surveillance plus poussée). Sauf qu'il s'agit cette fois de sonder les données conservées massivement dans les data-centers de la DGSE, et non de faire de la surveillance de flux en « temps réel ». Pour rappel, une fois collectées, les métadonnées des résidents français sont conservées quatre ans par les services...

La fuite en avant de la surveillance

Quand un outil technique existe, il n'y a aucune raison de ne pas l'utiliser à fond... C'est en tous cas la position des caciques du renseignement et des responsables politiques qui président à ces activités secrètes, et qui estiment nécessaire de mettre au service du renseignement intérieur les vastes dispositifs de surveillance de la DGSE. La fin justifie les moyens, et tant pis pour l'État de droit.

Ni le gouvernement, ni la CNCTR, ni le Conseil d'État n'ont donc de problème à s'asseoir sur les arguments qu'ils invoquaient il y a tout juste trois ans pour justifier l'instauration d'un régime dérogatoire pour la surveillance internationale11, à savoir que celle ci ne concernait que des personnes situées hors du territoire, et donc échappant a priori au pouvoir coercitif de l'État. Aujourd'hui, ils rendent ce régime dérogatoire toujours plus poreux à la surveillance des résidents français, en permettant au renseignement intérieur de piocher allégrement dans les bases de données de la DGSE. Avec cet amendement, il devient par exemple possible de retracer d'un seul coup l'historique des communications d'un résident français en remontant quatre ans en arrière, là où le régime de surveillance nationale permettait de récolter des métadonnées vieilles d'un an maximum auprès des opérateurs et de quantité d'hébergeurs. On change clairement de dimension.

Le plus choquant, c'est peut être que le gouvernement refuse de reconnaître l'importance de ces évolutions, en prétendant qu'il ne s'agit que de quelques aménagements techniques. Cette manière de procéder du gouvernement Macron – qui semble chercher à étouffer à tout prix le débat – devrait justifier à elle seule que les parlementaires s'opposent à cet amendement scélérat (la Commission mixte paritaire composée de députés et de sénateurs se réunit bientôt pour finaliser le texte).

Malgré quelques maigres avancées en termes de transparence dont témoigne notamment le dernier rapport de la CNCTR, cette affaire illustre bien l'immaturité démocratique persistante du renseignement français. Alors que la ministre promet une révision plus en profondeur de la loi renseignement pour 2020, on peut d'ores et déjà s'attendre au pire...


Dépôt des plaintes collectives contre les GAFAM !

Mon, 28 May 2018 13:44:48 +0000 - (source)

28 mai 2018 - La Quadrature du Net vient d'envoyer à la CNIL cinq plaintes contre Facebook, Google (Gmail, Youtube et Search), Apple (iOS et son méga-cookie), Amazon et LinkedIn.

Voilà six semaines que nous avons lancé notre campagne pour vous inviter à rejoindre nos plaintes contre les GAFAM. Et ces six semaines ont suffi à réunir plus de 12 000 d'entre vous autour de ces plaintes collectives ! Pour comparer, en une année entière, celle de 2017, la CNIL a été saisie de 8 360 plaintes individuelles.

Où allons-nous, maintenant ? D'ici un mois au mieux, la CNIL devrait rendre une première décision pour répartir les différentes plaintes entre les autorités de plusieurs États européens. C'est désormais la règle avec le règlement général sur la protection des données (RGPD) : si une entreprise collecte des données sur plusieurs pays, les CNIL de tous ces pays doivent collaborer pour trouver une décision commune (ce qui évite le forum shopping, et pourrait donc être une assez bonne nouveauté si tout se passe bien). La CNIL d'un de ces États (celui où l'entreprise a le centre de ses activités dans l'Union européenne) est ainsi désignée « autorité chef de file » et est chargée de conduire l'instruction et d'animer cette coopération.

Mis à part la plainte dirigée contre Amazon qui partira au Luxembourg, toutes les autres seront très probablement réceptionnées par l'autorité irlandaise. Celle-ci ayant déjà pas mal à faire avec les instructions en cours contre les nombreux GAFAM qu'elle surveille habituellement, il nous a semblé plus sage de ne pas immédiatement la submerger de toutes nos plaintes : mieux vaut obtenir de bonnes décisions ciblées et faire jurisprudence le plus rapidement possible.

Nous avons donc choisi d'ouvrir le feu en attaquant 7 des 12 services initialement visés, et d'attendre un peu de voir comment les choses évoluent avant de lancer la procédure contre les 5 services restants (Whatsapp, Instagram, Android, Outlook et Skype). La procédure de coopération entre les CNIL européennes prendra de bien nombreux mois : inutile de se précipiter dès le début :)

Les premières plaintes sont accessibles en ligne et, évidemment, librement réutilisables par n'importe qui voulant s'en inspirer pour attaquer des GAFAM ou tant d'autres :

  1. Facebook ;
  2. Google (Gmail, Youtube, Search) ;
  3. Apple ;
  4. Amazon ;
  5. LinkedIn.

Il faut aussi remercier les dizaines d'entre vous qui avez participé à la rédaction collective de ces plaintes bien complexes ! Merci ! Et un grand merci encore à toutes celles et ceux qui ont su faire tant parler de la campagne au cours de ces dernières semaines !

Enfin, pour voir au-delà de nos avancées à nous, saluons l'action initiée par nos amis de chez NOYB (None Of Your Business) qui, le 25 mai dernier, dès l'entrée en application du RGPD, ont déposé quatre plaintes un peu partout en Europe contre Android, Instagram, Whatsapp et Facebook, se fondant sur le même argument que celui ayant animé toute nos actions : exiger un « consentement libre » pour rejeter l'idée d'une marchandisation de nos données personnelles. Bravo à vous !


Le RGPD va rebooter Internet : ouvrons le combat

Fri, 25 May 2018 11:09:49 +0000 - (source)

Tribune de Marne et Arthur, instigateurs de la campagne de plaintes collectives contre les GAFAM

25 mai 2018 - Avant-hier, Emmanuel Macron recevait son homologue Mark Zuckerberg, symbole défait d'un monde dont le glas a sonné ce matin. Sous les traits forcés du dynamisme et de l'innovation, Macron, ne comprenant rien à son époque, fait la cour à des puissances dont le modèle, aussi dépassé qu'illégal, prendra bientôt fin. Les seules structures qui compteront à l'avenir seront les nôtres : celles de l'Internet libre et décentralisé, établies et régulées par le peuple lui-même. C'est la voie qu'a ouvert le RGPD : prenons-la sans détour.

Pour comprendre ce qui commence aujourd'hui avec l'entrée en application du règlement général sur la protection des données (RGPD), repartons d'abord dans le passé... il y a 5 ans, presque jour pour jour.

RGPD, fruit de la plus violente campagne de lobbying américaine

Le 27 mai 2013, La Quadrature du Net publiait son analyse principale en faveur d'un « consentement explicite » dans le RGPD, qui était alors en pleine discussion au Parlement européen. Cette revendication était alors notre combat principal et, aux côtés de nos associations alliées (voir notre campagne Naked Citizens, lancée le 25 avril 2013), nous l'avons gagné.

Ainsi, 5 ans plus tard, depuis ce matin, une entreprise ne peut plus justifier de nous surveiller au motif que nous y aurions « consenti » en oubliant de décocher une case obscure rangée en fin de formulaire ou derrière divers menus (stratégie éculée pour dérober l'accord d'une personne). C'est la victoire du « consentement explicite », c'est ce que continuent de violer Google, Apple ou Amazon, et c'est notamment ce que nous invoquons avec 11 000 autres personnes dans les plaintes collectives que nous déposerons lundi prochain devant la CNIL (et que vous pouvez encore rejoindre).

Avec le recul, ce « consentement explicite », cette arme que nous nous sommes donnés il y a 5 ans, cette victoire, semble irréelle. De l'aveu des parlementaires européens, l'Union européenne n'avait jamais connu de campagne de lobbying aussi intense et brutale que sur le RGPD : c'est toute la Silicon Valley qui descendait dans le Parlement, suivi de sa myriade de syndicats, de groupements, de Think Tanks™ et de serfs européens. Nous avions d'ailleurs recensé les milliers de pages qu'ils envoyaient au Parlement, et le site LobbyPlag les avait analysées pour révéler quels eurodéputés en déposaient et défendaient les propositions. Dans un premier temps, cet effort titanesque de lobbying a largement payé : au 19 mars 2013, chacune des 4 commissions consultatives du Parlement européen avait rendu un avis affaiblissant largement la protection de nos libertés.

Heureusement, le débat a subitement changé de ton lorsque, le 6 juin 2013, Edward Snowden a commencé à révéler les pratiques des renseignements américains. La première de ses révélations publiées, sur le programme PRISM, impliquait directement les mêmes entreprises américaines qui remportaient jusqu'ici le débat européen... Notre victoire doit probablement beaucoup à ces circonstances.

Le 21 octobre 2016, le Parlement européen arrêtait sa première position officielle : les pires de nos inquiétudes en avaient enfin disparues, et nous gagnions sur le consentement explicite. À l'époque, nous regrettions pourtant amèrement les nombreuses failles qui, existantes depuis la première réglementation européenne de 1995, avaient été maintenues dans RGPD (et y sont encore aujourd’hui). Au premier rang d'entre elle : l'« intérêt légitime » (nous y revenons ci-dessous).

Peu de nouveautés

Définitivement signé le 27 avril 2016, le RGPD aura finalement apporté peu de protections nouvelles pour nos libertés. En plus du « consentement explicite » que nous avions réussi à obtenir, les avancées, bien que considérables, sont surtout procédurales : les CNIL pourront prononcer des sanctions à hauteur de 20 millions d'euros ou 4% du chiffre d'affaire mondial de la société visée (la plus haute des deux valeurs est retenue) et, pour les pousser à agir fermement, elles pourront être saisies par des plaintes collectives réunissant des milliers de personnes (c'est ce que nous faisons !).

À côté de ça, tous les grands principes de la protection de données (conditions de licéité, données sensibles, loyautés, etc.) ainsi que la majorité de nos « droits » (d'accéder à nos données, de les rectifier, etc.) ont été repris presque à l'identique de la directive européenne initiale de 1995. Le règlement crée bien aussi un nouveau droit à la portabilité, mais son intérêt pratique reste encore à trouver.

De plus, comme on l'a vu, le RGPD ne s'est pas contenté d'hériter des forces de la directive de 1995, il a aussi hérité de sa faille principale : il autorise toute entreprise à collecter et utiliser des données personnelles si elle y trouve un « intérêt légitime » (un intérêt économique, structurel...) et que la poursuite de cet intérêt ne porte pas une « atteinte disproportionnée » aux intérêts des personnes concernées. Oui, ce « critère » est particulièrement flou et tordu, et c'est hélas bien son but : « pour l'instant, vous avez le droit de faire ce que vous voulez, et on viendra vérifier plus tard, si on a le temps, que vous n'ayez pas trop dépassé les bornes ».

Heureusement, les CNIL européennes (réunies au sein de « groupe de l'article 29 ») ont pris position, dès 2014, pour affirmer que l'analyse comportementale à des fins de ciblage publicitaire ne devraient pas pouvoir constituer un tel « intérêt légitime », et ne devrait donc être autorisée qu'avec notre consentement (voir son avis 06/2014, p. 45). C'est un des arguments que nous opposons notamment à Google dans nos plaintes collectives - car celui-ci ose bel et bien invoquer son « intérêt légitime » pour justifier la surveillance de masse dont il tire sa fortune.

Une arme puissante

Mais alors, si le RGPD apporte si peu de nouveautés, pourquoi y trouverions-nous l'espoir de changements majeurs ? Son principal effet, en vérité, n'est pas tant d'avoir modifié le droit que d'en permettre enfin l'application.

En théorie, depuis longtemps, le droit des données personnelles pourrait être une arme puissante pour nous protéger : l'analyse comportementale n'est possible qu'avec notre consentement (qui doit désormais être explicite) et, surtout, ce consentement doit être libre.

Insistons encore une fois sur la notion de consentement libre, qui est au cœur de nos plaintes collectives. C'est bien là que se trouve le germe du changement à venir : le droit des données personnelles prévoit, depuis plusieurs années (voir dernièrement la décision rendue en France par la CNIL sur Whatsapp, fin 2017) que notre consentement n'est pas valide s'il est une condition pour accéder à un service. Le consentement n'est pas « libre » s'il est donné sous la menace de subir une conséquence négative. Il n'est pas valide s'il est assimilé à la contrepartie d'un contrat, à un prix.

Ce principe est simple à comprendre : céder ses données, c'est renoncer à son droit fondamental à la protection de la vie privée, à la liberté de conscience, à l'intégrité. Or, heureusement, nos principes démocratiques s'opposent à la marchandisation de nos libertés fondamentales (sans quoi la moindre « égalité des droits » ne bénéficierait qu'à ceux pouvant se l'acheter).

Pour résumer, depuis plusieurs années, les modèles économiques de Facebook ou Google n'ont, juridiquement, aucune raison d'exister : ils se financent grâce à une analyse comportementale de masse à des fins publicitaire. Or cette analyse n'est possible qu'avec notre consentement. Nous devrions donc pouvoir accéder à leur service tout en refusant de donner ce consentement : mais si nous avions véritablement cette possibilité, la très grande majorité d'entre nous refuserait cette surveillance.

Leur modèle est illégal et juridiquement absurde depuis longtemps. Le seul problème, en vérité, c'est que personne n'avait le pouvoir, ou la volonté, de les arrêter. C'est cela, et surtout cela, qui a changé ce matin.

Alors que, en France par exemple, jusqu'en 2016, la CNIL ne pouvait prononcer des sanctions qu'à hauteur de 150 000 €, ce qui était inutile contre Google ou Facebook (qui ont d'ailleurs bien été condamnés à payer cette somme), le montant de l'amende pourra désormais atteindre 4 % de leur chiffre d'affaire mondial. Et, au cas où les CNIL manqueraient de la volonté pour ce faire, les plaintes collectives sont maintenant là pour, enfin, rendre la population actrice de ce processus : si les CNIL, saisies par des milliers de personnes sur une même plainte, n'agissent pas, elles perdront toute légitimité.

Nous pouvons enfin oublier notre sentiment de « à quoi bon lutter contre ces géants ? ». Si cette amertume était entièrement justifiée hier, elle ne l'est plus aujourd'hui. Pour eux, la fête est finie. Elle commence pour nous.

Retour à l'Internet des origines

Le RGPD laisse l'espoir de voir enfin le droit protéger nos données contre des géants qui, y trouvant leur fortune, ont entièrement remodelé Internet.

Internet, dans ses principes fondamentaux, repose sur la décentralisation : la puissance de calcul, le stockage et l'usage de bande passante sont répartis sur un nombre infini de points du réseaux (nos ordinateurs et téléphones ainsi qu'une multitude de serveurs) dont l'interconnexion et le travail collectif ne dépendent d'aucune autorité centrale. C'est ce qui lui permet d'être si résilient, de voir constamment apparaître de nouvelles structures et de nouveaux usages, dont chacune et chacun peut être l'acteur, et ainsi d'offrir une alternative libre et vivante à notre monde physique, si bordé et normé qu'il est par des organisations aussi centralisées que rigides, incapables de s'adapter et de répondre aux préoccupations de la population.

C'est cet idéal des origines qui a conduit à l'essor d'Internet, pendant que le Minitel français, hyper centralisé, connaissait le cuisant échec dont nous nous réjouissons encore. Et pourtant, sur ce même Internet, nous avons vu apparaître Facebook, Youtube, Instagram ou Twitter, qui ne sont rien d'autre que de nouveaux Minitels (pour une comparaison utile, on peut revoir la conférence « Minitel 2.0 » dans laquelle Benjamin Bayart défendait la neutralité du Net - que nous avons d'ailleurs fini par obtenir, ici encore !) .

Sur ces nouveaux Minitels, nos relations, nos créations et nos débats sont entièrement régulés par des autorités centrales, selon leurs propres critères qui, chaque fois et afin d’accroître leurs recettes publicitaires, distordent entièrement l'espace public. Symptômes chroniques des effets de cette centralisation, celle-ci conduit à la sur-diffusion de vidéo anxiogènes et polémiques (voir notre analyse sur Google), de fakenews et de débats caricaturaux, stériles (voir notre analyse sur les fakenews). À l'opposé, sur des réseaux décentralisés, de tels contenus ne sont pas mis en avant et, surtout, ne nuisent pas à l'ensemble des internautes, puisque ceux-ci choisissent librement avec qui communiquer et selon quelles règles, en fonction du nœud où ils ont choisit de s'installer sur le réseau.

Comment en est-on arrivé à cette hyper-centralisation de l'Internet ? Il suffit de regarder la source des revenus de ces nouveaux Minitels pour comprendre que l'analyse comportementale à des fins publicitaires a été décisive dans leur essor. Or, ce levier économique, la source financière de cette centralisation, on l'a dit, est aujourd'hui obsolète. À court terme, quand le droit sera enfin appliqué, on voit mal comment Facebook, typiquement, pourra continuer de fournir son service « gratuitement » (sans publicité ciblée) et comment il pourra donc survivre. C'est donc le modèle-même de cette centralisation qui est aujourd'hui remis en cause puisque, historiquement, celle-ci n'a été possible qu'au moyen de pratiques qui ne seront plus possibles.

Évidement, on soulignera que le capitalisme, comme toujours, s'adaptera, et que la centralisation trouvera des nouvelles façons de se financer. Mais force est de constater que ces rebondissements tardent ici à se faire connaître alors que nous, en face, avons déjà notre modèle. Jusqu'à nouvel ordre, c'est donc celui qui primera.

Bref, nous avons déjà gagné.


Powered by VroumVroumBlog 0.1.31 - RSS Feed
Download config articles