Rechercher dans les flux d'actualités



Filtrer par auteur :
     |     
Rechercher un terme :


  La-Quadrature - Smart Cities sécuritaires : la CNIL forfait ?
Depuis plusieurs mois, La Quadrature a commencé à se pencher sur les enjeux liés aux Smart City, alors que plusieurs villes françaises invoquent ce terme pour « déguiser » leurs projets de surveillance policière dopée aux Big Data. Il y a quelques semaines, nous rencontrions la CNIL pour discuter de ces enjeux. Résumé des épisodes précédents, et de cette rencontre pas franchement enthousiasmante. En France, lorsquâ€'on évoque la police prédictive et les usages policier du Big Data, il est souvent question de lâ€'entreprise américaine Palantir. Celle-ci agit comme une sorte de chiffon rouge : les usages policiers de ses plateformes logicielles aux États-Unis ont en effet de quoi faire froid dans le dos, et le contrat passé fin 2016 entre la firme et les services de renseignement intérieur français, la DGSI, suscite des inquiétudes légitimes. Mais à trop se focaliser sur Palantir ? qui endosse à merveille le rôle de la « méchante boîte américaine » ?, on risque dâ€'oublier un peu vite quâ€'en France aussi, plusieurs multinationales comme Thalès, Atos Bull ou Engie se positionnent sur ces marchés sécuritaires en plein essor. La Safe City « made in France » Alors que le sujet était jusquâ€'alors largement passé sous nos radars, cela fait quelques mois que nous avons commencé à suivre ces projets, baptisés « Safe City ©» par leurs concepteurs (ou comment basculer sans rougir de la Smart City à la « ville sécurisée »). À Marseille puis à Nice, nous avons commencé à documenter les premiers partenariats public-privé en la matière, qui pullulent actuellement sur le territoire. Au travers de ces marchés publics, on voit des multinationales françaises s'allier avec des élus municipaux peu scrupuleux pour mettre la puissance du Big Data et de lâ€'intelligence artificielle au service de leurs polices municipales (dans les applications envisagées : analyses prédictives, repérage des comportements suspects à travers l'analyse automatique de la vidéosurveillance, surveillance des réseaux sociaux, etc). Ces partenariats soutenus par l'Union européenne ou la Banque publique d'investissement permettent à ces consortiums mêlant grands industriels, « start-ups » et instituts de recherche (comme l'INRIA) de faire financer leur recherche et développement de solutions sécuritaires par le contribuable. Lâ€'une des choses qui frappe lorsquâ€'on regarde les documents relatifs à ces expérimentations, câ€'est la créativité dont font preuve les rédacteurs pour minimiser les enjeux en termes de libertés publiques, sans jamais vraiment réussir à convaincre. Surtout, ne pas appeler un chat un chat, et caser les mots à la mode du moment qui permettront de rassurer et de « faire moderne ©». C'est ce que relevait récemment la section locale de Ligue des droits de lâ€'Homme à Nice : Le marketing de la sécurité (de la peur ?), utilise volontiers quelques mots clés qui reviennent constamment en boucle : #intelligent, #temps réel ; on y rencontre aussi des #infaillible aux allures jupitériennes, destinés à clouer le bec de tout contradicteur. Pour ce qui est de la vie privée, les rédacteurs se contentent d'une vague mention du « RGPD » ou de la « Loi informatique et libertés ». Inutile de vraiment plancher sur une analyse juridique qui démonterait que ces projets sont tout simplement illégaux... On a rencontré la CNIL (et câ€'est triste) Il y a quelques semaines, après la réponse que nous a faite la présidente de la CNIL à un courrier de janvier 2018, nous avons rencontré ses services pour en savoir plus sur la manière dont ils suivaient (ou pas) ces dossiers. Côté Quadrature, nous étions trois. En face de nous, il y avait Jean Lessi, conseiller d?État et secrétaire général de la CNIL, et trois autres personnes travaillant de loin sur ces sujets de « Safe City » au titre de leurs attributions. L'échange a été cordial. Nous avons rencontré des gens aimables, prenant au sérieux nos inquiétudes. Et pourtant, notre discussion a débouché sur un constat particulièrement amer quant à la capacité de la CNIL à être à la hauteur des enjeux. Aucune analyse juridique détaillée Le premier constat, câ€'est que la CNIL nâ€'a en réalité pas de politique détaillée sur les Safe Cities. En 2014 déjà, elle échangeait avec le ministère de lâ€'Intérieur sur des expérimentation locales de dispositifs statistiques à visée de police prédictive (sans même le Big Data à l?époque). Lâ€'an dernier, la CNIL publiait une étude prospective tout-à-fait lucide sur les enjeux de la Smart City pour les libertés publiques. Mais aujourd'hui, celle-ci ne dispose encore dâ€'aucune analyse juridique qui puisse faire autorité sur la légalité des expérimentations projetées. Comme le montrait le courrier envoyé par la présidente de la CNIL au maire de Marseille, la CNIL se borne pour lâ€'heure à appeler au respect de garanties procédurales, avec notamment la nécessaire étude dâ€'impact (la mairie en aurait promis une pour cet hiver...) et un « accompagnement obligatoire » à lâ€'issue des expérimentations (prévu pour les « nouvelles technologies » par lâ€'article 70-4 de la loi informatique et liberté modifiée). Les analyses juridiques qui fleurissent au Conseil de lâ€'Europe ou ailleurs1, et qui tentent de construire une réflexion pratique sur les liens entre Big Data, Intelligence Artificielle et droits de lâ€'Homme, semblent la laisser de marbre. Dans le silence de la loi, tout et n'importe quoi Lorsquâ€'on demande à nos interlocuteurs pourquoi ils ne demandent tout simplement pas lâ€'arrêt de ces expérimentations, comme il fut fait au printemps sâ€'agissant de lâ€'application Reporty à Nice (décision dont nous avons eu communication : la voici), on nous explique qu'à l'inverse de Reporty, la loi ne dit rien de spécifique sur la Safe City, et que les mairies peuvent donc faire peu ou prou ce qu'elles veulent.2. Nous répondons que, justement, c'est parce que la loi ne dit rien non plus de lâ€'utilisation du Big Data à des fins policières, de la surveillance des réseaux sociaux et de toutes ces choses évoquées dans les projets dâ€'expérimentation « Safe City », que ces derniers sont clairement illégaux3. C'est justement pour cela qu'ils mériteraient l'opposition ferme et résolue de la CNIL. Silence gêné. On en déduit, que sous couvert d'expérimentations, tout ou presque est permis. La CNIL semble ici adhérer au rapport du député Cédric Villani sur lâ€'intelligence artificielle, qui revendiquait de s'affranchir de la loi pour expérimenter les usages de l'IA à des fins de surveillance (visant sans le nommer le partenariat Palantir-DGSI). Dans la Startuffe Nation, il te suffit de parler d'« expérimentation » et d'« innovation smart », de méthodes « lean » en lien avec « l'écosystème startup », et ça te vaut un sauf-conduit pour faire tout et n'importe quoi. La CNIL résignée face au discours sécuritaire Bref. On continue donc la discussion, et nos interlocuteurs de la CNIL continuent de se défiler en nous disant en substance ceci : « Même si les projets dâ€'expérimentation font peur sur le papier, il faut bien faire la différence entre le discours marketing des projets dâ€'expérimentation (qui surenchérit dans la dystopie orwelienne) et l?étape de la mise en ?uvre (qui sâ€'avérera décevante et bien plus limitée que ce qui est projeté au départ) ». Alors oui, on peut être dâ€'accord sur le fait que ces expérimentations ne tiendront pas leurs promesses dans les délais impartis. Pour autant, cette position de la CNIL qui tend à minimiser la portée de ces projets oublie deux choses. La première, câ€'est que les discours marketing participent déjà de la banalisation des systèmes de surveillance. Et ce d'autant plus qu'ils sont repris par les élus qui, tout en masquant les dangers de la Safe City, tentent dâ€'en faire un atout électoral. Le marketing de la surveillance impose partout la société de surveillance, et ce devrait être le rôle de la CNIL que d'utiliser les moyens à sa disposition pour aider à déconstruire ces discours (et tant pis si cela suscite lâ€'ire des élus locaux). Surtout, vu le rythme auquel croît lâ€'informatique de contrôle (Big Data, IA & co), il est clair que ces systèmes de surveillance verront le jour. À force de balancer des millions d'euros pour les financer, la technocratie nous enfoncera encore un peu plus dans la dystopie orwellienne. De fait, ces outils existent déjà en Chine et, dans une moindre mesure, aux États-Unis et au Royaume-Uni. L'un des buts de ces expérimentations nâ€'est-il pas justement de permettre aux industriels français de rattraper au plus vite leur retard sur la concurrence étrangère ? Un appel au débat qui ne mange pas de pain Au fond, si la CNIL botte en touche sur ces sujets ô combien importants, câ€'est quâ€'elle accepte d'être condamnée à l'impuissance. À lâ€'image dâ€'autres autorités de contrôle dévolues à la protection des libertés publiques, ses moyens financiers et humains sont structurellement dérisoires par rapport à lâ€'ampleur de ses missions. Il faut dire que la conjoncture nâ€'est guère favorable : la CNIL doit faire face à lâ€'entrée en vigueur du RGPD en mai dernier, qui la met en première ligne. Nos interlocuteurs ont d'ailleurs commencé la discussion en pointant leur manque de moyens, comme pour sâ€'excuser par avance de leur relative inaction. On nous a fait comprendre que les personnes que nous avions en face sont en réalité les seules parmi un staff dâ€'environ 200 personnes à plancher sur ces sujets de Safe City. Et encore, seulement de loin, en plus de leurs autres missions touchant aux fichiers régaliens? Le projet de budget 2019 envisage bien une augmentation de ses ressources de +4,8 % (+ 860 000 euros), mais cela est largement insuffisant pour palier aux besoins. Il y a une seconde explication plus générale à lâ€'impuissance de la CNIL : celle-ci est sciemment organisée par les pouvoirs exécutifs et législatifs. L'attentisme actuel apparaît en effet comme le point dâ€'orgue dâ€'une tendance à l??uvre depuis les années 1980, qui a vu les pouvoirs de la commission progressivement rognés sâ€'agissant de la surveillance d?État. Alors que ses responsables aiment à rappeler le « mythe fondateur » du scandale SAFARI ? provoqué en 1974 par le projet dâ€'une interconnexion des fichiers informatiques de la police, des service fiscaux et sociaux ?, la CNIL nâ€'a cesse depuis de perdre du terrain sur ces questions. Ainsi, en 1991, l?État choisit de créer une nouvelle autorité (la CNCIS) plutôt que de lui permettre de contrôler la surveillance des communications par les services de renseignement. En 2004, on lui ôte le pouvoir de sâ€'opposer à la création de fichiers policiers, en rendant son avis sur les projets de décrets afférents purement consultatif. Enfin, depuis presque vingt ans, on met à sa tête des gens proches des hautes sphères administratives ou politiques, comme une manière de garantir sa relative docilité vis-à-vis de l?État dans des dossiers clés. Dans ce contexte délétère, la CNIL en est réduite à appeler à un grand « débat démocratique », tout en reconnaissant les graves menaces que font peser ces systèmes pour les droits et libertés. Ce qu'elle a fait le 19 septembre dernier. On lit dans son communiqué publié ce jour-là : Ces dispositifs, qui sâ€'articulent parfois avec des technologies de big data, soulèvent des enjeux importants pour les droits et libertés individuelles des citoyens. Le sentiment de surveillance renforcée, lâ€'exploitation accrue et potentiellement à grande échelle de données personnelles, pour certaines sensibles (données biométriques), la restriction de la liberté dâ€'aller et de venir anonymement, sont autant de problématiques essentielles pour le bon fonctionnement de notre société démocratique. Il est aujourdâ€'hui impératif que des garde-fous soient prévus afin dâ€'encadrer les finalités pour lesquelles ces dispositifs peuvent être déployés et prévenir tout mésusage des données traitées par leur biais (?). Aussi, la CNIL appelle dâ€'urgence à un débat démocratique sur cette problématique, et à ce que le législateur puis le pouvoir réglementaire se saisissent de ces questions afin que soient définis les encadrements appropriés, en recherchant le juste équilibre entre les impératifs de sécurisation, notamment des espaces publics, et la préservation des droits et libertés de chacun4. Un appel de pure forme, qui finira sans aucun doute par être entendu par les ministères de l'intérieur et de la justice. Le gouvernement a en effet affirmé au printemps vouloir réviser la loi renseignement en 2020. Il lui faudra de toute façon bien finir par légaliser tout un tas dâ€'usages sécuritaires de lâ€'informatique expérimentés ces derniers temps dans la plus grande illégalité (coucou Palantir à la DGSI, coucou le fichier TES et sa myriade d'usages potentiels qu'on voudra bientôt légaliser, etc.). Au train où vont les lois sécuritaires, et vu que les marchands de peur sont récemment passés ceinture marron dans l'art de pourrir le débat sur ces questions, ils accueillent sans doute l'appel de la CNIL avec sérénité. Au minimum, la CNIL devrait imposer un moratoire sur les expérimentations en cours : exiger leur arrêt tant qu'elles ne sont pas précisément autorisées et encadrées par la loi. Sa position attentiste la rend complice. 1. Conseil de l'Europe. (2018). Guidelines on the protection of individuals with regard to the processing of personal data in a world of Big Data (Consultative committee of the Convention for the protection of individuals with regard to automatic processing of personal data No. T-PD(2018)01). https://rm.coe.int/practical-guide-use-of-personal-data-in-the-police-se... Conseil de l'Europe. (2018). Algorithms and Human Rights: Study on the human rights dimensions of automated data processing techniques and possible regulatory implications. Strasbourg. https://www.coe.int/en/web/human-rights-rule-of-law/-/algorithms-and-hum... Commission des libertés civiles, de la justice et des affaires intérieures, Parlement européen. (2017). Rapport sur les incidences des mégadonnées pour les droits fondamentaux: respect de la vie privée, protection des données, non-discrimination, sécurité et application de la loi (No. A8- 0044/2017). Retrieved from http://www.europarl.europa.eu/sides/getDoc.doâ€'pubRef=-//EP//TEXT+REPORT+... 2. Le raisonnement juridique de la CNIL, détaillé dans un document dont nous avons eu communication, est en gros le suivant : « Reporty sâ€'analysait en droit comme lâ€'extension du système de vidéosurveillance de la ville (à travers les ordiphones des gens) ; or, la vidéosurveillance fait lâ€'objet dâ€'un encadrement dans le code de la sécurité intérieure ; comme pour les caméras piéton des policiers, faut donc que la loi autorise expressément le recours par les collectivités aux ordiphones des gens pour surveiller la population ; or cette autorisation législative qui fait pour lâ€'heure défaut ». 3. C'est la conséquence logique de la jurisprudence de base de de CEDH en la matière : toute forme de surveillance qui ne fait pas lâ€'objet dâ€'une règle juridique claire et intelligible associée à des garde-fous est illégale. 4. https://www.cnil.fr/fr/la-cnil-appelle-la-tenue-dun-debat-democratique-sur-les-nouveaux-usages-des-cameras-video

Le 2018-11-06


  La-Quadrature - En Espagne, les réseaux télécoms citoyens entravés par des pratiques clientélistes
29 octobre 2018 En 2014, la Commission européenne publiait un rapport> présentant les résultats d'une consultation d'entreprises, dans 28 pays de l'Union Européenne (UE-28), de différents secteurs où celui des télécoms est affirmé comme le secteur économique le plus corrompu après celui du BTP. Alors que les télécoms sont dominés par des oligopoles au niveau national, les formes et les effets de cette corruption sont multiples. Sur le terrain, les initiatives citoyennes qui cherchent à se réapproprier les infrastructures télécom font en tous cas fréquemment l'expérience de ce qui s'apparente à des pratiques quasi-mafieuses. C'est pour dénoncer cette situation qu'en Espagne, la fondation Guifi.net - qui travaille à la construction de réseaux télécoms gérés comme biens communs, par et pour des communautés locales - vient de déposer une plainte auprès de la Médiatrice européenne. Depuis des années, Guifi.net constate que le déploiement de ses réseaux libres est entravé par la non-coopération d'entreprises ou d'autorités publiques qui refusent de donner droit à ses demandes d'accès aux infrastructures existantes (réseaux télécoms, ferroviaires, électriques), grâce auxquelles elle entend déployer ses fourreaux de fibre optique et ainsi étendre son réseau. Ses recours en justice ou ses saisine du régulateur des télécoms, la CNMC, sont restés sans véritables effets. Ces pratiques d'obstruction - contraires au droit européen et pourtant impunies - provoquent des retards, des surcoûts, et des formes de concurrence déloyales. Leur caractère systémique montrent à quel point les politiques publiques font obstacle à la maîtrise citoyenne des réseaux télécoms et, in fine, à la décentralisation d'Internet. Par solidarité avec Guifi.net et parce que, partout en Europe, les réseaux télécoms libres et citoyens font face à des problématiques similaires (voir en France le récent appel de la Fédération FDN à l'Arcep), nous republions ci-dessous le communiqué de Guifi.net, et leur exprimons notre soutien. Guifi.net dénonce les manquements au droit européen de la concurrence et des télécommunications Barcelone, le vendredi 26 octobre La fondation guifi.net dépose une plainte au Médiateur Européen, appelant la Commission Européenne à agir contre les mauvaises pratiques dans les États membres et à garantir le respect des textes européens en matière de télécommunications et de droit de la concurrence. Ce vendredi 26 octobre, la fondation guifi.net a déposé sa plainte au siège de la Commission européenne à Barcelone. Elle décrit les situations de conflit dâ€'intérêts économiques, les mauvaises pratiques ainsi que les barrières à l'entrée qui s'exercent à tous les niveaux en Espagne. La décision de déposer cette plainte est motivée par la violation continue et systématique du droit européen des télécommunications et du droit de la concurrence, et plus précisément du décret espagnol RD 330/2016 du 9 septembre relatif à la réduction du coût du déploiement des réseaux de télécommunications électroniques à haut débit, qui transpose la directive 2014/61/UE du Parlement européen. Ce décret permet aux opérateurs de réseaux de communications ouverts au public d'accéder aux infrastructures physiques existantes, et ce peu importe leur localisation. Les mauvaises actions, ainsi que l'absence d'action dans certains cas, sont commises à la fois par des entreprises privées ainsi qu'à tous les niveaux de l'administration et dans différents territoires de compétence. Cela mène à une impasse (blocus mutuel) rendant irréalisables les projets de réseaux en commun de guifi.net -- à travers une infrastructure dont le principal objectif est dâ€'atteindre lâ€'ensemble du territoire pour relier tous les ménages, mettant ainsi fin à la fracture numérique. La fondation guifi.net est un organisme à but non lucratif et d'intérêt général qui défend l'accès à Internet en tant que droit humain (reconnu par les Nations Unies en 2011) et qui travaille à la promotion d'un réseau de télécommunication en coopération, ouvert, libre et neutre, sur le modèle d'un bien commun.

Le 2018-10-29


  La-Quadrature - Un tiers médiaire
17 octobre 2018 - Pour avancer encore dans nos discussions sur le statut des hébergeurs et la régulation d'Internet, nous partageons aujourd'hui une tribune de Laurent Chemla, membre de La Quadrature du Net. Avec les communiqués de La Quadrature du Net autour de la Directive Droit d'Auteur et les différentes réactions et tribunes qu'ils ont suscité, pas mal de choses ont été dites, critiquées, expliquées et décortiquées. Quelques points pourtant sont restés à mon sens trop peu développés. Mais, first thing first, je voudrais d'abord expliquer ma propre position sur le sujet du fameux « statut intermédiaire » entre éditeur et hébergeur, que La Quadrature a très finement choisi de nommer « afficheur ». Et pour ça je vais devoir vous raconter ma vie (comme d'habitude, oui). Je te préviens c'est long et chiant. Tu peux retourner sur Twitter tout de suite. C'était en 1997, je crois, que ce thème a été abordé pour la première fois. J'étais à l'époque vice-président d'un des ancêtres de LQDN : l'Association des Utilisateurs d'Internet (AUI). L'AUI avait, assez naïvement, déjà classé les intermédiaires techniques en trois catégories : FAI, FSI et FHI. Respectivement : fournisseur d'accès, de services, et d'hébergement. Le FAI a des obligations (couverture du territoire, neutralité), le FSI a des contrats (c'est un simple commerçant), et le FHI est transparent (il n'a aucun rôle éditorial et en contrepartie aucune responsabilité équivalente à ce que la loi de 1881 sur la Presse impose aux divers intermédiaires de la chaîne de responsabilité éditoriale). La case « fournisseur de services » (puisque c'est surtout d'elle qu'il s'agit) était, à l'époque, pensée comme regroupant votre serveur de mail, votre vendeur de nom de domaine, ce genre de bidules techniques qui ne relève clairement ni de l'accès ni de l'hébergement proprement dit. Tout ce qui n'est ni fournisseur d'accès ni totalement transparent tombait dans ce statut. Une autre façon de présenter les choses serait de définir l'accès comme la fourniture des droits fondamentaux à l'expression et à l'information, et l'hébergement comme le moyen de ces mêmes droits fondamentaux. Un peu comme un parallèle à l'enseignement de la lecture et à la Presse. Et ce qui ne relève ni de l'accès ni du moyen tombe dans le simple commerce. Il peut sembler évident que, de ce point de vue, un intermédiaire qui - de facto - choisit ce qu'il diffuse ou non (parce qu'il hiérarchise les contenus de ses utilisateurs au point d'en faire disparaître certains, par exemple), n'étant pas « transparent », tombe dans cette case. En tous cas, à l'époque, ça semblait suffisamment évident à certains pour me démissionner de l'AUI au prétexte que je ne considérais pas que les choses étaient aussi simples. Ma position (qui n'a que peu varié depuis) était que, d'une part, la totale déresponsabilisation des hébergeurs conduirait inévitablement à des services spécialisés dans la diffusion de la haine (« Mais oh la la c'est pas ma faute si tous les haineux m'ont choisi comme hébergeur M. le juge : je suis totalement transparent moi », toute ressemblance avec le 18-25 d'une certaine période étant fortuite), et que d'autre part en tant que petit hébergeur (j'étais petit hébergeur à cette époque) j'aurais bien du mal à dormir en sachant que mes machines servaient à diffuser de la haine sans que je n'y puisse rien (« transparence » oblige). Forcément, ce type d'idée ne facilite pas les convictions tranchées, bien binaires comme il faut. Pour me sortir de ce qui ressemblait à une contradiction (défendre la liberté d'expression mais rester quand même un citoyen « non transparent »), j'ai fini par développer une position, sinon intermédiaire, au moins un peu plus complexe que le « tout ou rien » : dans ma vision l'hébergeur était un « fournisseur de liberté d'expression », un statut spécial, une sorte de « reconnaissance d'utilité publique » si vous voulez. En tant que tel il devenait irresponsable des contenus hébergés, MAIS il s'engageait à ne pas intervenir sur ces contenus SAUF à en répondre SYSTÉMATIQUEMENT devant la justice. Si jamais je tombais sur un site négationniste parmi ceux que j'hébergeais, et que j'en coupais l'accès, je risquais d'être condamné pour ça, et ça m'allait très bien : de la même manière que j'engage ma responsabilité pénale si je cogne sur le type qui essaie de voler le sac d'une vieille dame dans la rue, je laissais à la justice - saisie automatiquement - la décision de dire si j'avais agi à raison ou non. Pour résumer, j'avais développé un cadre contractuel en parallèle, que l'hébergeur se devait de respecter pour bénéficier de ce statut (mais je préfère rester hahaha bref). C'est là que nos chers juristes m'ont expliqué que « c'est pas con mais c'est pas possible : y'a pas de qualification pénale pour censure abusive dans notre droit ». What ? Eh bah oui : si c'est l'État qui censure la Presse ou les Syndicats, il existe un article de loi pour porter plainte. Mais si c'est un commerçant qui censure un particulier, y'a pas. Et c'est logique, puisqu'à l'époque où ces textes ont été écrits, personne ne pensait qu'un jour le simple citoyen aurait accès à l'expression publique. Oui, ok, c'est un droit constitutionnel, carrément un « Droit de l'Homme » même, mais celui-là n'est pas protégé par la loi. Voilà. Et il ne l'est toujours pas, 20 ans plus tard. Bon j'avoue qu'à ce stade des débats les choses se sont un peu compliquées et que - je résume, je t'ai dit ! - je me suis fait démissionner de l'association pour cause d'hérésie. Et j'ai un peu lâché l'affaire. Pendant 20 ans, ouais. Retour au temps présent. Il ne t'aura pas échappé que ma vision du passé n'est pas exactement celle qui est aujourd'hui défendue par La Quadrature. Déjà parce que c'est pas moi qui décide de la position de La Quadrature. Mais surtout parce qu'Internet n'est pas TOUT À FAIT le même qu'il y a 20 ans : l'avènement du « Web 2.0 » a changé la nature de l'hébergement, en créant des services réunissant sur la même « page » les publications d'une foule de différents acteurs. Benjamin l'explique très bien dans sa tribune. Mais ce qui compte, pour moi, et mon histoire passée l'explique sans doute, c'est qu'on débatte ENFIN de ça : oui, ok, bien sûr, il ne faut pas qu'un hébergeur soit responsable des contenus publiés par ses utilisateurs. Parce que s'il l'est, il sera obligé de sélectionner ces contenus. Et que donc - toutes choses étant égales par ailleurs - toute opinion un peu divergente de celle de ceux qui font la loi sera petit à petit supprimée de l'espace public. C'est comme ça. MAIS - et c'est un PUTAIN DE GROS MAIS - il doit avoir, en contrepartie, un devoir de neutralité. Parce que s'il n'est pas responsable, alors en échange IL NE DOIT PAS CENSURER. Rien. Jamais. Sauf à en assumer la responsabilité. Et oui, je considère que trier les documents, si ça conduit à toujours rendre invisibles les mêmes, c'est encore de la censure. Ça se discute ? Discutons-en. Et oui, la Quadrature défend l'idée que - s'il fait le choix de censurer - alors il ne passe pas devant un tribunal pour ça (rappel : y'a pas de loi qui le permette) mais il perd sa qualité d'hébergeur et [re]devient un simple intermédiaire, qualifié d'afficheur pourquoi pas. Un FSI au sens antique de l'AUI. C'est son contrat qui prévaut dans ses rapports avec ses utilisateurs MAIS il perd - au moins en partie - son irresponsabilité totale. Ça se discute ? Discutons-en. Et oui, la Quadrature propose que ce statut intermédiaire « d'afficheur » ne s'applique qu'à certaines conditions (de taille, de position hégémonique, de pouvoir...) et DONC que certains puissent conserver le statut d'hébergeur tout en choisissant des règles de modération autres que strictement neutres. Ça se discute ? Discutons-en. Par exemple, je suis personnellement favorable à ce qu'une des conditions pour passer du statut d'hébergeur à celui d'afficheur soit le choix du modèle économique : le tien est basé sur l'exploitation commerciale des données personnelles de tes utilisateurs ? Ok, t'es afficheur, pas hébergeur. Parce que oui, le modèle économique, ça compte aussi ! Parce que quand ton revenu dépend de la publicité, alors FORCÉMENT tu as intérêt à ne pas fâcher tes clients (les publicitaires, donc), et FORCÉMENT tu vas avoir envie de privilégier certains contenus à même de retenir l'attention de leurs cibles, et FORCÉMENT tu vas être poussé à ne pas mélanger leurs publicités à des contenus, disons, discutables. Et donc, FORCÉMENT, tu n'es plus neutre (et si tu essaies quand même de l'être, ce qui est le cas de mes amis de Qwant par exemple, tu te retrouves à lutter contre la puissance économique de ceux qui - n'ayant pas plus d'obligations que toi tout en n'ayant pas la même éthique que toi - ont mille fois plus de clients potentiels que toi. Bon courage). Accessoirement, je préfère aussi le rappeler, le modèle « publicité contre gratuité » nous conduit aussi irrémédiablement dans le mur de la minitelisation du Web que le modèle capitaliste nous conduit dans le mur de la disparition du vivant (je résume, je te l'ai déjà dit). Parce que pour vendre plus de pub - ou pour la vendre plus cher - tu vas devoir avoir plus d'utilisateurs, tout simplement. Ce qui conduit très logiquement à voir apparaître des géants hégémoniques et à la disparition, par asphyxie économique, des plus petits. Et donc à un pouvoir démesuré sur la liberté d'expression pour ceux qui restent. C'est le modèle qui veut ça. Bref. Tout ça se discute. Alors discutons-en. Sans anathème, de préférence : j'ai déjà vécu ça et ça ne m'a pas plu des masses. On peut discuter. On doit discuter. J'ai mes limites, bien sûr : pour moi il n'existe pas de liberté sans responsabilité donc, pour moi, celui qui prend la liberté de censurer ce qui lui déplaît prend en partie la responsabilité de ce qu'il diffuse. C'est un principe, mais il se discute, il s'amende, il prend en compte la réalité. Sans insultes et sans parti-pris : si je n'entends pas d'arguments pour me faire changer d'avis, la discussion va vite s'arrêter là. Bref. J'ai pas fini. Ne t'y trompes pas, ami lecteur masochiste qui a tenu jusque-là : même s'ils semblent aller dans mon sens, quand les pouvoirs en place votent l'article 13 de la directive Copyright, ou même le RGPD, ils ne sont pas mes amis. Du tout. Parce qu'ils favorisent ceux qu'ils disent combattre. L'obligation de filtrage automatisé imposée par l'article 13 ne dérange EN RIEN les GAFAM : elle ne fait qu'avaliser une pratique déjà en place et VOULUE par ces mêmes GAFAM, puisque c'est à la base même de leur modèle économique (filtrer pour mieux attirer la cible des publicitaires et garantir un environnement « sain »). Son seul aspect positif (et encore : mon petit doigt m'a dit qu'on risquait gros pendant le trilogue en cours), c'est qu'il introduit une distinction entre hébergeur et intermédiaire pratiquant « l'optimisation des contenus », ce qui permet l'excellente chose (selon moi) que nous ayons ENFIN ce débat là. C'est d'ailleurs ce que disent @Calimaq et La Quadrature quand ils rappellent qu'il est PLUTÔT BON que ces mastodontes ne bénéficient plus de l'exception totale de responsabilité des contenus. Et j'en suis bien d'accord. Mais ça s'arrête là ! Je me doute bien que ça ne fait pas très plaisir aux GAFAM de se retrouver avec une responsabilité potentielle, mais ne nous leurrons pas : tout ça n'est rien d'autre que la mise en place d'un rapport de forces entre l'UE et Google/Facebook et al. pour que la première puisse mieux négocier ensuite avec les seconds le type de filtrage qu'il faudra mettre en place. L'UE a intériorisé le fait que presque rien n'existe qui ne passe par la poignée de « géants du Net » et que c'est donc là, et nulle part ailleurs, que le pouvoir peut s'exercer. L'Internet décentralisé, tel que « nous » le souhaitons, n'est pas contrôlable. L'Internet des GAFAM l'est, et c'est exactement ce que souhaitent les États, ne soyons pas naïfs. Google, selon cette étude est le plus grand bénéficiaire du RGPD. Probablement pas par hasard. Pour prendre l'exemple français : imposer l'exception culturelle telle que voulue par nos très chers ayant-tous-les-droits nécessite que les contenus soient « optimisés » pour afficher un certain pourcentage « d??uvres » françaises. Permettre à une nouvelle HADOPI d'empêcher efficacement le streaming illicite des évènements sportifs suppose que le nombre de services de streaming soit limité à quelques géants. Montrer ses muscles avant les prochaines élections européennes - pour tenter d'éviter qu'une certaine droite ne remporte trop de sièges - nécessite qu'on impose (très bientôt) la censure « en moins d'une heure » des contenus terroristes. Ce que seuls quelques géants ont la capacité de faire. Les autres, non seulement « les petits » mais aussi tous ceux qui n'ont pas la censure pour modèle économique, risquent de se retrouver de facto hors la loi et de disparaître ? Oui, et c'est pas pire, pour un pouvoir qui souhaite le retour à un réseau hypercentralisé qu'il pourra mieux contrôler. Notre pays a l'habitude des réseaux très centralisés dans lesquels l'État dispose du pouvoir d'imposer ses volontés et d'empêcher tout ou partie de l'expression publique citoyenne. C'est nous qui avons inventé le Minitel. Cocorico. Allez, encore un mot sur le RGPD et la centralisation et je te laisse retourner faire la sieste. Le RGPD (et la loi Lemaire avant lui) a inventé un « droit à la portabilité des données ». Haha. Tu sais : le truc qui va te permettre d'exporter tes données personnelles depuis Facebook vers... euh. Ah. Merde. Ah si : tu vas pouvoir exporter tes contacts et ta mailbox Gmail chez un autre fournisseur d'email. Oui, tu pouvais déjà, mais maintenant c'est un droit ! Donc c'est cool. Wait. Il y a plus d'un milliard d'utilisateurs de Gmail, largement contraints souvent parce qu'il faut une adresse Gmail pour activer un téléphone Android. Google s'en fiche bien si quelques dizaines de millions vont voir ailleurs : ceux-là continueront forcément à échanger avec la très grande majorité qui sera restée. Et donc à fournir des données à Google. Or c'est de données que se nourrit Google, pas d'utilisateurs. Google s'en cogne, que tu « portes tes données » ailleurs, soyons sérieux. Les GAFAM s'en cognent même tellement qu'ils sont en train de finaliser un joli logiciel libre qui va permettre à tout le monde de porter ses données personnelles chez un autre géant que le géant précédent. TROP BIEN. Pendant ce temps Facebook empêche les clients tiers dâ€'accéder à tes messages persos et Twitter change son API pour limiter la possibilité d'afficher des flux sans publicité. Tu peux porter des données ailleurs, ça ils s'en foutent (et d'ailleurs, où ?), mais tu dois garder ton attention sur ce qui compte vraiment : la pub. Et la pub ne s'affiche que si tu restes dans l'écosystème hégémonique qu'elle impose au Web et qui arrange bien nos gouvernements. C'est pour ça que la position de la Quadrature sur la décentralisation est FONDAMENTALE. C'est pour ça qu'en affirmant qu'on peut s'appuyer sur l'article 13 pour développer des services décentralisés, la Quadrature est bien dans son rôle de protection des libertés. C'est pour ça qu'il faut DÉFONCER cette notion de « droit à la portabilité des données » et la remplacer dans tous nos combats par un « droit à l'accessibilité des données ». Imposer que NOS données puissent être lues par NOUS avec l'outil qu'on choisit, quel qu'il soit, où que ces données soient stockées. Même si c'est chez Facebook. Ça ne changera rien, ou pas grand chose, au modèle économique dominant, mais ça permettra à tous ceux qui souhaitent en sortir de le faire sans laisser leurs amis derrière eux. C'est, peu ou prou, le modèle d'ActivityPub, par exemple, mais nous devons étendre ce modèle à TOUTES nos données personnelles, y compris passées, pour que puisse se développer une autre économie du Web qui prenne en compte l'existant. Je ne crois pas aux ruptures. Les humains sont beaucoup trop flemmards pour ça. Imposer l'accès aux données personnelles c'est la garantie qu'un Internet décentralisé continuera à exister, même si c'est en parallèle de l'autre. Et tant pis. Et tant mieux, même : c'est justement parce que cette idée ne détruit pas le modèle économique des GAFAM qu'il a une (toute petite) chance d'être soutenu par le politique. Restons pragmatiques. On démolira l'existant seulement quand on aura construit le remplaçant. Et je ne dis pas ça parce que j'en ai besoin pour Caliopen. En tous cas pas que.

Le 2018-10-24


  La-Quadrature - Nos plaintes contres les GAFAM avancent !
10 octobre 2018 - Nous venons de recevoir des nouvelles de la CNIL au sujet de nos plaintes collectives, engagées en mai 2018 contre Google, Apple, Facebook, Amazon et Microsoft. Ces nouvelles sont encourageantes. Les plaintes contre Apple, Facebook et Microsoft ont été transmises à l'autorité irlandaise de protection des données, qui a commencé l'instruction des dossiers. Pourquoi est-ce l'autorité irlandaise qui instruira nos plaintes, plutôt que la CNIL française, à qui nos plaintes étaient destinées ? Comme nous le rappelions déjà en mai dernier, le RGPD a posé un nouveau cadre de coopération entre les différentes « CNIL » européennes : si une entreprise collecte des données dans plusieurs pays européens, les CNIL de tous ces pays doivent collaborer pour contrôler cette entreprise. La CNIL de l'État où l'entreprise a le « centre de ses activités » dans l'Union européenne est désignée « autorité chef de file ». Cette autorité chef de file est chargée de conduire l'instruction et d'animer la coopération entre les autorités. C'est en Irlande que Apple, Facebook et Microsoft ont le centre de leurs activités européennes. La CNIL irlandaise est donc l'autorité chef de file pour instruire nos plaintes. S'agissant d'Amazon, la plainte a été transmise à l'autorité du Luxembourg - puisque, cette fois-ci, c'est dans ce pays qu'Amazon a le centre de ses activités au sein de l'Union. Enfin, qu'en est-il de Google ? C'est ici que la situation devient la plus intéressante. Le RGPD prévoit une exception au mécanisme de « l'autorité chef de file ». Si une entreprise n'a pas « d'établissement principal » au sein de l'Union, mais agit principalement depuis l'étranger, la CNIL de n'importe quel État peut la contrôler (voir les lignes directrices WP244, page 11, du G291). C'est cette exception que la CNIL française a retenue s'agissant de Google : l'entreprise ne dispose dans l'Union d'aucun « établissement principal » qui dirigerait les activités que nous dénonçons comme contraires au RGPD. Concrètement, la CNIL considère que le siège de Google à Dublin ne prend pas de décisions importantes dans notre affaire et ne doit donc pas être pris en considération. Ainsi, la CNIL française se reconnaît compétente pour instruire directement notre plainte contre Google (et pour, en fin de course, prononcer sa sanction). Toutefois, elle nous indique qu'elle compte conduire ce dossier en coopération avec les autres CNIL, avec lesquelles elle aurait commencé à travailler lors de leur dernière réunion européenne du 25 et 26 septembre. C'est une bonne chose. Dans l'ensemble, la situation est des plus encourageantes : nos plaintes avancent concrètement et celle contre Google reste dans les mains d'une autorité dont les dernières décisions ont toutes imposé strictement la notion de « consentement libre », qui est au câ€'ur de nos actions. Nous vous garderons informés des prochains avancements sur ces dossiers. En attendant, nous vous rappelons que nos plaintes sont libres de droit (disponibles ici) : n'hésitez pas à en reprendre les arguments (ils ont été pensés pour être faciles à reprendre) afin de rédiger des plaintes individuelles ou collectives contre d'autres entreprises - qui ne manquent pas pour violer le RGPD. 1. Le G29 était l'organisation créée en 1995 pour regrouper les CNIL de tous les États de l'Union européenne et dégager des positions communes. Le RGPD a transformé le G29 en un nouveau « Comité Européen de la Protection des Données », qui reprend la même mission et organisation mais se voit désormais confier des pouvoirs de décisions dans le cadre de la nouvelle coopération entre les différentes CNIL

Le 2018-10-24


  La-Quadrature - Intermédiaires techniques : un éléphant, ce n'est pas une souris en plus gros
10 octobre 2018 - Nous partageons la tribune de Benjamin Bayart, publiée aujourd'hui sur son blog et poursuivant nos discussions sur le statut des hébergeurs (relire notre article sur la décentralisation, la tribune de Calimaq et celle d'Arthur). C'est un débat ancien autour des libertés numériques, que de délimiter la responsabilité des intermédiaires techniques. Pour essayer de raconter ça, il faut que je fasse appel à des notions assez nombreuses, et parfois peu habituelles dans le domaine. Après un petit rappel des positions historiques, sur les notions d'éditeur et d'hébergeur, je vais poser quelques notions venues d'autres domaines, ou de phénomènes plus récents. Le but est d'essayer de proposer une grille de lecture différente : un troisième statut, quelque part entre éditeur et hébergeur, et les conséquences que ça porte. On peut arriver à la même conclusion (ce troisième statut) par d'autres arguments, dont je n'ai pas besoin pour articuler mon raisonnement. J'ai regroupé ces arguments, pour au moins les citer, qu'ils ne donnent pas l'impression d'avoir été oublié. Tout ça est le fruit de beaucoup de discussions. L'idée de quelque chose entre éditeur et hébergeur est sortie de discussions ces 3-4 dernières années à la quadrature. La façon dont j'articule entre eux ces différents éléments est le fruit de mon expérience personnelle, le mélange des réflexions de plusieurs collectifs. Contexte historique On peut faire remonter la question, en France, à l'affaire "Estelle Hallyday contre Altern". Ce n'est pas la première fois que la question se posait, mais c'est celle qui a marqué les esprits. Altern était un hébergeur associatif, articulé avec une TPE (la TPE permettait au mec de manger, l'association hébergeait gratuitement). Près de 50.000 sites perso étaient hébergés chez Altern. On situe mal, mais 50.000 sites, à la fin des années 90, c'est un morceau colossal du web en France. Et toutes ces pages sont hébergées gratuitement, sans pub, sans contre-partie, par une association. Des photos dénudées d'Estelle Hallyday avaient été publiées dans la presse. Un petit malin les a scannées et mises en ligne sur son site. La dame a porté plainte... contre l'hébergeur. À aucun moment la police ou la justice ne se sont intéressées à savoir qui était derrière le site, le nom de l'hébergeur leur suffisait bien. Il a été très lourdement condamné, une somme déraisonnable qui a forcé à fermer le volet associatif d'Altern : le risque était devenu trop grand. Une FAQ de 1999 sur l'affaire redonne les éléments clefs de la discussion de l'époque. C'est cette histoire qui a été utilisée pour expliquer aux députés et sénateurs de l'époque que nous avions un problème dans le numérique. On se trompait de responsable devant la justice dans les affaires de presse (diffamation, injure, atteinte à la vie privée, etc). Le législateur français a mis très longtemps à converger vers une solution acceptable. C'est autour de 2004 que le débat arrive à la bonne conclusion. Position définie par la LCEN La LCEN organise en 2004 la responsabilité entre trois types d'acteurs1. Les fournisseurs d'accès et opérateurs réseaux, qui transportent l'information, les hébergeurs qui stockent l'information, et les éditeurs qui publient le contenu. Les éditeurs sont responsables de ce qui est publié, et assument les propos de l'auteur, en particulier dans les affaires dites de presse (diffamation, injure, publication d'informations portant atteinte à la vie privée des gens, etc). Les hébergeurs, quant à eux, ne sont pas responsables de ce qui est publié. Il devient obligatoire de faire figurer sur tout site web une indication de qui en est l'éditeur. Le droit européen est articulé peu ou prou de la même manière. Les opérateurs du réseau doivent se comporter comme un "mere conduit", c'est-à-dire comme un simple/pur tuyau. Ils transportent les données sans tenir compte du contenu, et donc ne peuvent être responsable de ce qui se passe sur le réseau. De mémoire cette première notion, bien plus ancienne que celle de la neutralité du net, se trouve dans des directives de 2000 sur le commerce électronique. Dans le web de la fin des années 90, et jusqu'à la fin des années 2000, ces notions suffisent à lire le monde. Si je prend des exemples actuels que tout le monde peut comprendre, OVH est un hébergeur, l'éditeur du site https://lefigaro.fr est le journal du même nom, et FDN ou Orange, quand ils vous permettent d'accéder au contenu mis en ligne par ce site web ne sont pas responsables si un de ces contenus est illégal. Et ce, que cette illégalité soit un délit de presse ou un autre délit (par exemple, la publication sans autorisation d'un contenu soumis au droit d'auteur, une des variantes de ce que la loi nomme contrefaçon, même si le terme semble bien impropre2). La jurisprudence est venue apporter des nuances, parfois intéressantes, parfois idiotes. Dans les jurisprudences intéressantes : en 2010 Tiscali, qui hébergeait les pages perso de ses abonnés, et aurait à ce titre dû être considéré comme hébergeur, s'est vu requalifier par la Cour de cassation en éditeur parce qu'elle ajoutait de la publicité dans ces pages. Le juge a estimé que modifier le contenu, avec des visées lucratives, en faisait un éditeur et pas un simple hébergeur. Par ailleurs, la LCEN prévoit que quand l'hébergeur a connaissance d'un contenu illicite, il doit le retirer rapidement. Le Conseil Constitutionnel, qui avait été saisi de la LCEN, avait bien précisé que ça ne pouvait être applicable que pour les contenus manifestement illicites (ergo, dans la pensée de l'époque, les contenus manifestement pédo-pornographiques et/ou manifestement néo-nazis). Les jurisprudences diverses, en France et en Europe, sont venues affaiblir cette décision du Conseil Constitutionnel. On considère de nos jours que quasiment toutes les illégalités sont manifestes3. Évolution du paysage Le développement de ce que les startupeurs digitaux appellent le Web 2.0 vient un peu compliquer l'affaire, mais à peine. Le Web 2.0, c'est le fait qu'une plateforme est mise à disposition du public, et que c'est le public qui produit le contenu. Par exemple les commentaires organisés en forum de discussion sous un article d'actualité. Par exemple les forums de chat fournis par tel ou tel site web pour la communauté de ses habitués. Par exemple Facebook au tout début. L'analyse reste sensiblement la même. L'utilisateur est auteur-éditeur du message qu'il publie, de la page qui regroupe ses messages. Et la plateforme est analysée comme un hébergeur, qui se contente d'afficher au lecteur les messages regroupés comme le lecteur le lui a demandé, c'est-à-dire dans l'ordre chronologique des publications de chacun des utilisateurs dont il suit le fil de publication. C'est assez assimilable dans la théorie, à ce que fait un agrégateur de flux RSS, pour les gens qui voient ce que c'est. Mais la pratique change. Ces grandes plateformes interviennent le plus en plus dans le flux des informations. Elles hiérarchisent l'information, selon des critères qui n'appartiennent qu'à elles. Strictement, elles hébergent un contenu qu'elles n'ont pas produit, le plus souvent, mais choisissent l'ordre d'affichage, et même si un contenu sera affiché ou non pour un lecteur donné. Plus elles interviennent dans l'affichage des contenus, moins leur rôle d'hébergeur passif semble adapté. Responsabilité du fait d'autrui Le principe de droit sous-jacent à une bonne part du débat est le fait que nul ne peut être tenu responsable du fait d'autrui. Si j'écris sur mon mur Facebook des choses contraires à la loi, il est légitime que j'en sois tenu responsable, et qu'on n'aille pas en faire reproche à quelqu'un d'autre (genre Facebook, qui a permis la diffusion de mon message, mon FAI qui m'a permis de publier, ton FAI qui t'a permis de le lire, le fabriquant de ton écran qui a permis l'affichage, ton marchand de lunettes qui t'a permis de lire malgré ta myopie, etc). Tenir Facebook pour responsable de ce qu'écrivent les gens, c'est pas bon. Mais prétendre que Facebook ne fait rien et donc n'est responsable de rien, c'est pas bon non plus, parce que ce n'est pas vrai. On voit bien que quelque chose cloche ici. Il nous manque une notion, qui décrive ce que fait Facebook. Quand nous travaillons sur ces sujets, à La Quadrature, le mot que nous utilisons, c'est "afficheur". Facebook serait un afficheur, et en tant qu'afficheur il n'est pas neutre. C'est un intermédiaire technique qui n'est pas neutre dans l'exécution de son rôle, il doit donc logiquement assumer la responsabilité de ce qui découle de cette non-neutralité. La neutralité du net Les débats sur la neutralité du net sont pour moi, en dernière analyse, des débats sur un intermédiaire technique particulier, le fournisseur d'accès à Internet (et plus généralement, l'opérateur réseau). Cet intermédiaire technique est tout-puissant. Il peut tout. Il peut m'empêcher d'accéder à un contenu, il peut ralentir l'accès à un service jusqu'à le rendre pénible à utiliser, il peut dégrader un service (perdre un paquet sur dix dans le flux d'une discussion audio la rend extrêmement pénible par exemple). Il peut surveiller à peu près la totalité de ce que je fais. Du point de vue de l'abonné, il est tout-puissant, et incontournable : les gens n'ont qu'un seul accès à Internet chez eux, ils ne jonglent pas entre 5 abonnements à Internet à tout moment, utilisant l'abonnement Machin pour accéder à un site et l'abonnement Truc pour accéder à un autre. Les gens normaux (quelques geeks dans mon genre font autrement) ont un seul opérateur pour accéder à Internet et ils espèrent bien accéder à tout Internet, de manière indiscriminée. Ce que disent les textes sur la neutralité du net peut se résumer assez facilement : en tant qu'intermédiaire technique incontournable, ayant de grands pouvoirs, l'opérateur n'a pas le droit d'utiliser ces grands pouvoirs n'importe comment. En particulier, s'il s'en sert pour (dé)favoriser un contenu, une adresse source, une adresse de destination, un type de service, etc, ça lui sera reproché. S'il sort d'une stricte neutralité d'intermédiaire technique sans raison valable, ça lui sera reproché. Et les texte européens listent les raisons valables connues : la sécurité du réseau, le bon fonctionnement du réseau, une décision de justice, etc. Un accord commercial avec une plateforme n'est, ainsi, pas une raison valable de prioriser des flux. Les textes sur la neutralité du net ne parlent pas de la responsabilité éditoriale, bien entendu, mais ils posent des principes de droit qui sont utiles : un intermédiaire technique, quand il sort de la neutralité qu'on attend de lui, prend une responsabilité, il devient responsable de ce qui arrive suite à cette sortie de route. La transposition à la responsabilité éditoriale est cependant assez simple : quand une plateforme joue un rôle central dans la capacité du public à diffuser de l'information, ou à accéder à l'information, et qu'elle sort de la neutralité technique, alors elle devrait recevoir la responsabilité des effets de cette sortie. Que ce soient des effets économiques (concurrence, distorsion d'un marché, etc) ou des effets sociaux (montée des violences, montée des haines, etc). On ne peut pas jouer un rôle actif dans une position de puissance et dire qu'on n'est pas responsable des effets du rôle qu'on joue. Un opérateur dominant Une autre notion intéressante est celle, venue du droit de la concurrence, d'acteur dominant sur un marché. C'est une notion qui s'analyse de manière locale, sur un marché donné. Ainsi si on s'intéresse au marché européen, au marché français, ou au marché d'un bassin de vie, les acteurs dominants identifiés ne sont pas les mêmes. Certaines pratiques sont interdites pour un ou des acteurs dominants sur un ou des marchés donnés. Ainsi, un tarif d'éviction. C'est quand un acteur, dominant sur un marché, pratique des prix tellement bas qu'il empêche les autres de s'installer sur ce marché, et donc s'assure la perpétuité de sa position dominante. Ainsi, si autour de chez moi il y a une boulangerie qui a une part tellement forte du marché des croissants qu'on la considère comme un acteur dominant (genre 90% des ventes de croissants du coin). Quand une nouvelle boulangerie ouvre, elle fait une promotion intenable (le croissant à 10 centimes, mettons). On peut analyser ça comme la pratique d'un tarif d'éviction. Dans une boulangerie qui a une petite part de marché, ce serait simplement une promo pour attirer le client. Dans une boulangerie qui détient une part colossale du marché, c'est un tarif destiné à tuer les concurrents et assurer un monopole pour l'opérateur dominant sur le marché une fois que les concurrents auront coulé, auront été évincés (d'où le nom "tarif d'éviction"). Il faut bien analyser ça sur le bon marché. En effet, la position dominante de la boulangerie ne joue pas sur le marché des fruits et légumes, ou ne joue pas sur le marché national des croissants. Elle fait bien 90% dans ma ville, mais un pourcentage infime au niveau national ou européen. On peut essayer de transposer ces principes dans le cas qui nous intéresse. Les grandes plateformes sont des acteurs dominants sur certains marchés. Traditionnellement, on fait cette analyse sur un vrai marché, commercial. On peut par exemple se demander si Facebook et Google sont des acteurs dominants sur le marché de la publicité en ligne. Mais on peut utiliser cet outil pour penser des choses qui ne sont pas des marchés au sens commercial, et se demander si Facebook et Twitter jouent un rôle central dans la diffusion des contenus publiés par leurs utilisateurs, et si on peut donc leur reprocher les effets de leurs décisions en raison de leur taille. La même décision, de la part d'un acteur hyper minoritaire et n'ayant pas d'influence significative sur le "marché" (ou sur le phénomène social) considéré n'aurait pas la même responsabilité. La taille est bien un critère pertinent pour juger de la responsabilité des acteurs. Non, un éléphant, ce n'est pas une souris en plus gros. La censure Facebook, ou Apple, opèrent une censure. Une censure a priori, où certains contenus sont censurés d'autorité, selon des procédures floues et discrétionnaires, le plus souvent sans appel et sans contradictoire. C'est un rôle actif, qui sort totalement de la notion d'intermédiaire technique neutre. Et qui est le fait d'acteurs dominants sur les "marchés" considérés. On peut soit considérer que ces censeurs sont sortis de leur rôle neutre et technique, et que donc ils perdent l'exemption générale de responsabilité, qu'ils portent atteinte au principe de neutralité qu'on attend d'eux (même si, pour l'heure, aucun texte de loi ne prévoit ça de manière claire). Soit considérer, ce qui est sensiblement équivalent, qu'ils jouent un rôle actif dont ils sont responsables. N'ayant pas réussi à censurer les contenus illégaux, alors qu'ils jouent un rôle actif de censure a priori (Facebook censure les images dont ses outils supposent que ce sont des nus, avec régulièrement des erreurs) et de censure a posteriori (ces plateformes censurent sur signalement par les utilisateurs), on peut les considérer comme responsable de l'échec de leur censure. Dans un cas, on estime que ces plateformes devraient se voir interdire la censure discrétionnaire, qu'il devrait y avoir des mécanismes transparents et conformes au droit pour traiter les problèmes. Par exemple du notice-and-notice : quelqu'un signale qu'un contenu pose problème. Le signalement est transmis anonymement à l'auteur. L'auteur peut retirer son contenu, ou décider de persister. Si les deux parties persistent à dire qu'il y a problème, le dossier complet est transmis à la justice qui arbitre le différend. Dans une posture comme celle-là, l'intermédiaire technique est de nouveau neutre. Il n'a pas décidé si le contenu lui semblait légal ou pas. On ne peut pas le tenir responsable d'une décision. Dans l'autre cas, on estime normal que la plateforme joue un rôle de censeur, et qu'on peut lui tenir rigueur de ses erreurs dans la censure. Auquel cas tout contenu illégal qui arrive à franchir la barrière peut lui être reproché. Je préfère bien entendu la première solution. Mais les deux sont logiques. Centralisation ou ouverture Le fait qu'une plateforme soit centralisée ou non est également un critère. L'exemple qui vient spontanément en tête est la comparaison entre les systèmes de messagerie fermés (iMessage d'Apple, Messenger de Facebook, les messages directs de Twitter, etc) et les systèmes de messagerie ouverts (par exemple le mail). Ou la comparaison entre un réseau de micro-blog fermé (Twitter) et un réseau de micro-blog ouvert (Mastodon). Dans le cas d'un système centralisé et fermé, une décision de la plateforme centrale a un effet absolu. Si je suis banni de Twitter, je suis banni de l'intégralité du réseau de Twitter. Si cette décision est arbitraire, et fondée sur des critères qui ne peuvent pas être négociés, elle est absolue et incontournable. Elle est le fait d'un acteur dominant. Dans le cas d'un système acentré et ouvert, une décision de la plateforme qui hébergeait mon compte de me bannir a un effet bien moindre. Je peux aller ouvrir un compte sur une autre instance du même réseau (quand mon compte mail de laposte.net est fermé, je peux aller ouvrir une adresse mail ailleurs). Si un nâ€'ud du réseau se met à détenir une part élevée des comptes, alors l'analyse en position dominante redevient pertinente : quand gmail.com ou outlook.com décident d'imposer des règles en matière de mail, même si le réseau est ouvert, ils représentent une part tellement grande du réseau du mail que leur norme s'impose de fait à tous les autres. Ils deviennent bien un acteur dominant de ce réseau. La définition des libertés À la fin du 18e siècle, quand on a défini les libertés fondamentales, on les a défini par rapport à la puissance publique. Quand on parle de liberté d'expression, on parle d'empêcher l'État (ou le roi) de censurer de manière arbitraire. Les libertés fondamentales, les droits de l'Homme, sont définis pour protéger les citoyens, les individus, contre les abus de la puissance publique. Typiquement, le premier amendement de la constitution américaine, qui protège la liberté d'expression, interdit au législateur de faire une loi dont l'effet serait de priver le citoyen de la libre expression de son opinion. Facebook n'étant pas législateur, ça ne le concerne pas, il peut bien censurer comme il a envie et prendre toutes décisions visant à censurer. Le rapport asymétrique qui existe aujourd'hui entre un particulier et une grande multi-nationale crée un rapport d'une nature similaire à celui qui existe entre le citoyen et l'État, un rapport asymétrique où une seule des deux parties peut établir les clauses du contrat. Le contrat qui existe entre Facebook et ses utilisateurs n'est pas de la même nature que le contrat qui existe entre deux particuliers. Les deux signataires du contrat ne sont pas dans un rapport de force symétrique. Or tout le droit autour de la liberté de contracter suppose une adhésion, soit que chaque clause était négociable (pour un contrat de gré à gré), soit qu'on pouvait ne pas adhérer au contrat et aller chercher un service similaire ailleurs (pour un contrat d'adhésion). Bref, on suppose que les deux parties sont engagées par un consentement mutuel entre pairs. Il y a déjà de nombreuses zones du droit où l'asymétrie du rapport de forces a été prise en compte pour définir des droits qui ne sont pas symétriques. Par exemple l'obligation de conseil d'un pro : il ne doit pas vous laisser choisir une mauvaise solution s'il sait qu'elle est mauvaise, il doit vous conseiller au mieux de vos intérêts, pas des siens. Par exemple le contrat de prêt que vous signez avec le banquier : vous n'êtes pas en position de le négocier, alors la loi a très strictement encadré ce que le banquier a le droit de vous proposer. C'est toute cette partie du droit qui permet régulièrement aux tribunaux de dire que des clauses d'un contrat étaient abusives, et qu'on doit donc considérer qu'elles n'existent pas (les juristes parlent de "clauses réputées non-écrites"). Il n'y a pas, pour le moment, de garantie des libertés dans un rapport contractuel asymétrique. Facebook, Twitter ou Google ne peuvent pas être condamnés pour censure abusive de mes propos. Seul l'État pourrait être condamné pour ça. C'est par exemple pour ça qu'il y a quelques années, avec quelques autres, nous avions rédigé une proposition de loi de défense de la liberté d'expression. On retrouve un concept similaire dans la protection des données personnelles prévue par le RGPD : le rapport asymétrique entre l'entité qui collecte des données et le particulier dont on collecte les données crée une obligation particulière du collecteur pour protéger les libertés de l'individu. Laissé dans l'ombre Il y a d'autres angles de lecture que je laisse dans l'ombre ici, parce qu'ils ne sont pas utiles à mon raisonnement, bien qu'ils aillent clairement dans le même sens. Je veux citer ceux que j'ai en tête, pour qu'on ne pense pas qu'ils ont été oubliés. Ils demandent souvent une analyse assez longue, et qui ne me semblait pas rigoureusement nécessaire ici. D'abord il y a l'inversion des rapports entre sujet et objet. Dans le contrat qui me lie à mon fournisseur d'accès à Internet (FDN, ou Orange), l'accès à Internet est l'objet du contrat, et le FAI et moi en sommes les sujets. Nous convenons entre nous comment l'un va à la demande de l'autre réaliser une prestation qui porte sur l'objet. Quand un service est financé par la publicité, ce rapport s'inverse. Le contrat, le vrai contrat, celui qui fait rentrer de l'argent, est entre le publicitaire et le service. C'est ce contrat qui compte. Et dans ce contrat, je suis devenu l'objet. Le publicitaire passe un contrat avec le prestataire du service qui porte sur la mise à disposition de l'objet du contrat, à savoir l'utilisateur. Dans ce modèle l'utilisateur est devenu l'objet d'un contrat auquel il n'a pas accès. C'est vicié, de base. Ça veut dire que l'utilisateur n'a rien à attendre du prestataire, qui n'est pas à son service. Ensuite, il y a l'économie de l'attention. Ce qui intéresse ces grands afficheurs, c'est de pouvoir focaliser l'attention des gens. Donc de mettre en avant des émotions, et ce faisant de faire passer la raison en arrière plan (les publicitaires veulent ça, ça rend beaucoup plus perméable aux messages). Les messages qui font le plus directement appel à nos émotions sont donc favorisés, que ce soient des émotions douces (oh, le jouli petit chat...) ou des émotions dures (les propos haineux, la rage de voir encore une horreur de dite, etc). Le mécanisme de la publicité a besoin de faire appel à nos émotions, et cet état émotif nous fait rester plus longtemps face aux contenus, nous fait interagir plus. C'est ce qui donne sa valeur au contenu putaclic. Ensuite, il y a la notion d'éthique de l'entreprise. Certaines entreprises ont une éthique, ça arrive. Mais cette éthique n'est que celle portée par le pacte d'actionnaires. Que les actionnaires changent et l'éthique change. L'entreprise lucrative n'est pas mauvaise en elle-même, mais les questions éthiques y ont forcément un rôle second. Parfois, sa survie dépend de l'éthique qu'elle affiche (Free, dans son jeune temps, avait besoin de se montrer cool avec les geeks pour exister, par exemple). Mais sitôt que ce n'est plus le cas, que l'éthique n'est plus une condition de la survie, alors les questions éthiques passent en second plan, ou disparaissent complètement. La somme La somme de tous ces éléments nous amène bien à analyser le rôle de ces plateformes, de ces intermédiaires techniques, avec tous ces éléments. L'action de leur propre chef, et non comme résultant d'un choix explicite et délibéré de l'utilisateur (hiérarchisation des contenus, censure discrétionnaire, etc) crée une forme de responsabilité. Les visées lucratives jouent également un rôle : le but de la hiérarchisation est bien de maximiser le revenu publicitaire, pas de servir l'intérêt général ou les goûts du lecteur. Ce n'est pas la position neutre d'un intermédiaire technique au sens strict. La centralisation du réseau considéré empêche de changer de "fournisseur", en empêchant l'interconnexion et la normalisation, et donc crée de fait un monopole sur le marché considéré sitôt qu'il concerne un grand nombre d'utilisateurs. On peut par exemple considérer que Facebook occupe une position de monopole de la censure sur son réseau, et une position d'acteur dominant sur le marché de la publication des contenus, et monopolistique si on le rapporte au réseau Facebook, alors qu'aucune plateforme n'est en position monopolistique pour le réseau Mastodon/Fediverse. Enfin, la taille joue, en plus de la centralisation. Un très gros acteur sur un réseau ouvert doit être considéré comme un acteur dominant. Un acteur centralisé, mais très petit, ne crée par un dommage considérable à la société par son action, ou en tous cas pas un dommage aussi considérable que s'il était utilisé par une large part de la population. Ce sont tous ces éléments-là qui m'amènent à penser que l'analyse de Calimaq est relativement juste. Son propos reprenait cette distinction, ce nouveau rôle, sans l'avoir convenablement introduite, ça peut dérouter. Il y a bien un modèle de réseau qui me semble plus souhaitable socialement et économiquement, le modèle de réseau ouvert, fait de nombreux acteurs, offrant une capacité d'interconnexion, etc. Il me semble raisonnable que les acteurs qui ont un rôle dominant, soit par leur centralisation soit par leur grande taille, se voient contraints à une grande neutralité pour nous protéger contre l'arbitraire. Je suis en désaccord avec les choix de la directive copyright. Mon approche est que la position particulière de ces grands acteurs devrait leur interdire toute censure en dehors d'un processus contradictoire, tranché par une autorité indépendante, susceptible d'appel, et passant au moment voulu par la Justice. Mais l'approche qui consiste à dire qu'ils sont des professionnels de la censure et qu'ils ont donc des obligations de résultat de ce fait est toute aussi logique. Malsaine pour la société, parce qu'on a privatisé la censure. Mais logique. Et le fait que cette directive fasse une différence entre ces grands acteurs dangereux et des acteurs plus souhaitables socialement, c'est également un point plutôt positif. C'est bien parce que l'éléphant n'est pas la souris qu'on a inventé des législations pour se protéger des géants économiques : de l'anti-trust, de l'anti-monopole, de la régulation sectorielle (l'industrie pharmaceutique ne répond pas aux mêmes normes que les marchands de souvenirs, par exemple). Ce dont je suis convaincu, c'est que l'irresponsabilité associée au statut d'hébergeur tel qu'il était défini historiquement doit être revisitée. Cette irresponsabilité était une conséquence logique du fait que cet intermédiaire technique n'avait pas d'action propre, autre que la réalisation du transport ou de l'hébergement des données. Et il est certain que les grandes plateformes ont une action propre. Je ne suis pas certain des conclusions, des critères exacts qu'il faut utiliser pour délimiter ce nouveau rôle. Ce que je propose ici c'est une piste de définition de ces critères. 1. Le législateur étant ce qu'il est, ces noms n'apparaissent jamais. On parle toujours des personnes désignées au 1. du I de l'article 6 de la LCEN, ou désignées au 1 et 2 du I de l'article... Bref, des périphrases affreuses et incompréhensibles. Il faut bien justifier le salaire des juristes. 2. En effet, si on veut s'en tenir au mot, une contrefaçon, un produit contrefait, c'est un produit qui prétend être (par exemple de telle grande marque) mais qui n'est pas. Par exemple les "fausses Rolex", ou les "fausses Nikes". Un fichier musical mis en ligne sans accord des ayants droits n'est pas véritablement contrefait. C'est vraiment le fichier musical que ça prétend, et pas une mauvaise reprise jouée par des amateurs dans leur cave. Dans un cas il y a tromperie sur la qualité de la marchandise, dans l'autre c'est bien le bon produit, mais il y a un défaut d'autorisation et/ou de rémunération. Reste que la loi amalgame les deux. Lutter contre la contrefaçon c'est autant lutter contre les faux médicaments, les imitations des grandes marques, que lutter contre le partage des ?uvres entre particuliers sans accord des maisons d'édition. 3. C'est un peu à l'opposé de l'idée qu'il existe une justice : si la décision de savoir si c'est conforme à la loi ou pas est toujours manifeste, et donc simple, à quoi peuvent bien servir les juges qui ont à en décider ? Par exemple, savoir si "Le Petit Prince" est encore couvert par le droit d'auteur ou non est une question fort complexe. Il se trouve que ça dépend du pays, pour de sombres histoires de durée du droit d'auteur après la mort de l'auteur (variable d'un pays à l'autre), et de savoir si les années de guerre sont comptées ou non dans cette durée (les années de guerre ne sont pas les mêmes d'un pays à l'autre). Bien malin l'hébergeur qui sait si l'extrait du Petit Prince qui est mis en ligne chez lui est manifestement illégal, ou pas.

Le 2018-10-24


  La-Quadrature - Régulation des contenus : quelles obligations pour les géants du Web ?
Tribune d'Arthur Messaud 9 octobre 2018 - Il y a 10 jours, nous expliquions que décentraliser le Web offrait l'espoir d'une organisation démocratique de nos échanges en ligne, en solution à l'hégémonie de l'économie de l'attention. En effet, les géants du Web distordent nos échanges pour des raisons économiques en favorisant les propos anxiogènes, caricaturaux, violents ou payés... au détriment des autres, et cela doit être corrigé. Pour favoriser une alternative décentralisée, nous proposions que les hébergeurs libres (qui ne nous imposent pas une hiérarchisation des contenus) ne soient plus soumis aux mêmes obligations légales que les plateformes géantes (qui nous imposent leur hiérarchisation des contenus). Ces obligations légales, qui exigent de censurer de plus en plus vite les contenus « manifestement illicites » dont les hébergeurs ont connaissance, freinent le développement du Web décentralisé. Ainsi, nous proposions que les hébergeurs libres n'aient plus à supporter ces lourdes obligations : que seul un juge puisse exiger d'eux qu'ils censurent un contenu. Aujourd'hui, la question que nous abordons ne concerne plus les hébergeurs libres, mais les autres : quelles obligations imposer aux plateformes géantes ? Le pouvoir des géants Ce récit est malheureusement assez commun : vous vous êtes inscrit sur Facebook, Youtube ou Twitter il y a de nombreuses années et, depuis, vous y avez tissé de nombreuses relations (des « amis » ajoutés sur Facebook au fil des rencontres, un public attentif réuni sur Youtube, des personnes pertinentes suivies sur Twitter). Au fil des années, ces plateformes ont adopté des règles de hiérarchisation des contenus de plus en plus contraignantes. Facebook et Instagram se sont mis à censurer toute image contraire à leur vision puritaine de la société, à masquer les sites de presse contraires à ce qu'ils jugent être le « juste débat » et à organiser nos « fils d'actualité » pour nous rendre plus réceptifs à leur publicité. Youtube favorise des vidéos de plus en plus anxiogènes, pour nous faire rester le plus longtemps possible sur son site, au détriment des autres vidéos dont l'audience devient de plus en plus gérée par l'entreprise seule. Twitter organise nos échanges pour les rendre de plus en plus vifs et captifs, sans se soucier des conséquences sur le débat public. Plus généralement, s'est tissé « un lien pervers entre propos haineux et impact publicitaire : les personnes tenant des propos choquants ou extrémistes sont celles qui "rapportent" le plus car l'une d'entre elles peut en provoquer cinquante ou cent autres. Sous cet angle, lâ€'intérêt financier des réseaux sociaux est dâ€'en héberger le plus possible » (« Renforcer la lutte contre le racisme et l'antisémitisme sur Internet », Rapport au Premier Ministre, p. 36). Pourtant, nombre d'entre nous restons sur ces plateformes. Nous ne pouvons pas rompre d'un coup tous les liens que nous y avons tissés. Nous subissons toutes ces nouvelles contraintes sans les avoir choisies ni sans pouvoir vraiment y échapper. C'est ce qu'il faut corriger. Un nouveau statut juridique Si l'on souhaite utiliser le droit pour corriger les géants, il faut d'abord trouver un critère objectif pour les identifier. Ensuite, autour de ce critère, le droit pourra poser des obligations spécifiques pour former un « statut juridique » adapté à leur situation. Ce nouveau statut juridique se placerait à mi-chemin entre celui d'hébergeur et d'éditeur ; moins souple que le premier, moins strict que le second. Le « pouvoir de contrainte » des géants pourrait être ce critère permettant de délimiter leur nouveau statut. Ce « pouvoir » apparaît lorsque les utilisateurs d'une plateforme ne peuvent pas la quitter sans subir des « conséquences négatives », ce qui permet à la plateforme d'imposer les règles de son choix. Dans notre exemple précédent, ces « conséquences négatives » étaient la perte des liens humains tissés sur la plateforme. Pour mesurer la gravité de cette perte, ces liens peuvent être appréciés selon la taille de la plateforme, sa durée d'existence et son fonctionnement, par exemple. Les « conséquences négatives » à prendre en compte pour mesurer le « pouvoir de contrainte » des plateformes ne doivent pas se limiter à ce seul exemple. En effet, pour choisir ce critère, nous nous sommes directement inspirés du principe de « liberté du consentement » qui est au câ€'ur du RGPD (voir par exemple notre plainte contre Google, p. 4, pour plus de détails). Aujourd'hui, nous proposons d'étendre ce critère aux questions de liberté d'information, avec toute la souplesse qu'il offre pour s'adapter à différentes situations. Une fois ce critère posé, vient la question du contenu de ce nouveau statut (dans la suite de notre propos, nous appelons « géants » tout service qui dispose du « pouvoir de contrainte » défini ci-dessus - et pas seulement les GAFAM). Il y a plusieurs façons d'empêcher les géants d'abuser de leur pouvoir pour nous enfermer dans leurs règles nocives, qui distordent nos échanges à leurs fins personnelles. Dans les débats à venir, nous devrons identifier les meilleures façons de le faire. Nous soumettons ici des premières pistes. Et, pour commencer, il semble utile de revenir aux fondamentaux. De repartir du principe à la base de la neutralité du Net : si vous n'avez pas vraiment le choix d'utiliser un service pour communiquer, ce service ne doit pas être autorisé à hiérarchiser (favoriser, ralentir ou censurer) les informations que vous publiez et recevez, sauf si la loi l'exige (relire notre rapport de 2010 sur la neutralité du Net). Ainsi, il faut imposer aux géants le choix suivant : renoncer à leur pouvoir de contrainte (et donc redevenir de simples hébergeurs) ou devenir neutre. S'ouvrir à la décentralisation... En pratique, pour ne pas perdre nos liens tissés sur les géants, nous n'avons pas d'autre choix que de continuer à les utiliser. C'est une chose qui peut être corrigée si les géants deviennent « interopérables » avec d'autres services : s'ils nous permettent de continuer de parler avec nos « amis Facebook » sans être nous-même encore inscrits sur Facebook. Techniquement, cette « interopérabilité » passe par l'application de « standards de communication » : un langage partagé par plusieurs services afin de communiquer entre eux. Par exemple, le standard ActivityPub propose un standard pour « réseaux sociaux décentralisés » - et nous y voyons l'espoir concret de l'essor d'un Web décentralisé. De plus, appliquer de tels standards serait une façon de rendre effectif le « droit à la portabilité » créé par le RGPD (à l'article 20) et qui, sans interopérabilité entre plateformes, peine pour l'instant à démontrer son utilité. Concrètement, nous pourrions quitter un géant (par exemple Twitter) pour migrer vers un autre service (Mamot.fr, le service décentralisé de micro-bloging Mastodon proposé par La Quadrature). Depuis ce nouveau service, nous pourrions continuer de recevoir et d'envoyer des messages aux personnes restées sur le géant (Twitter), sans rompre nos liens avec elles. Ainsi, dès lors qu'un géant abandonnerait son pouvoir de contrainte, nous pourrions librement échapper au cadre destructeur de sa capitalisation de notre attention. Le cercle vertueux de la décentralisation reprenant le pas, le pouvoir de contrainte de ce géant-ci pourrait diminuer, jusqu'au point où, éventuellement, il pourrait revenir dans le statut plus souple des hébergeurs. Dans tous les cas, il serait tenu, comme n'importe quel hébergeur, d'afficher clairement ses règles de hiérarchisation des contenus, nous permettant de nous y soumettre ou non en pleine connaissance de cause. De même, revenir à un cadre d'hébergeur « plus souple » ne signifie en aucun cas d'alléger les obligations en matière de protection des données personnelles : ces données ne doivent jamais permettre de hiérarchiser les contenus sans le consentement explicite de chaque personne concernée. ... ou devenir neutre Dans le cas où un géant refuserait de s'ouvrir à la décentralisation (en refusant d'appliquer les standards le permettant), il devrait lui être interdit de hiérarchiser nos échanges selon ses propres règles - puisque nous ne pouvons pas échapper à celles-ci. Cette interdiction pourrait prendre différentes formes. Par exemple, cela pourrait être une interdiction de principe contrôlée par une autorité indépendante (de même que la neutralité du Net est protégée par l'ARCEP - l'autorité de régulation des communications électroniques et des postes). Aussi, cela pourrait être la possibilité pour chaque personne d'attaquer en justice un géant qui aurait censuré un contenu licite. Enfin, en cas de censure répétée de contenus licites, par exemple, ces actions en justice pourraient prendre la forme de plaintes collectives (de la même façon que le RGPD nous a permis d'agir à 12 000 personnes contre les GAFAM pour protéger nos données personnelles). Rappelons, que, aujourd'hui, se défendre contre ces censures abusives est pratiquement impossible. Pour résumer : si les géants continuent de nous enfermer (en refusant de s'ouvrir à la décentralisation), ils doivent devenir neutres (ne pas censurer de contenus licites ni en favoriser certains aux détriments d'autres). Cette absence de hiérarchisation serait vaine si elle n'était pas totale : elle doit autant interdire la censure de nus réalisée par Facebook que la mise en avant de contenus favorisant l'économie de l'attention ou étant payés par leur émetteur (à des fins publicitaires). C'est cette même rigueur qui est la base de la neutralité du Net et qu'il faudra appliquer strictement. Autrement, aucune des dérives de l'économie de l'attention ne sera corrigée. Aucune censure automatisée Dans tous les cas, les géants, mêmes neutres, ne doivent être soumis à aucune obligation de surveiller les contenus qu'ils diffusent pour censurer les informations « manifestement illicites » de façon automatique. Pourtant, c'est ce que prévoient en creux la directive sur le droit d'auteur ou la récente proposition de règlement européen contre la diffusion de contenus terroristes. Ces obligations sont inacceptables, au moins pour trois raison. En premier lieu, la directive européenne de 2000 qui encadre l'activité des intermédiaires du Net prévoit déjà ceci, à son article 15 : « les États membres ne doivent pas imposer aux prestataires [...] une obligation générale de surveiller les informations qu'ils transmettent ou stockent, ou une obligation générale de rechercher activement des faits ou des circonstances révélant des activités illicites ». Cette protection bénéficie à tous les intermédiaires du Net, même ceux non-neutres et ne bénéficiant pas du statut des hébergeurs stricto-sensu. En deuxième lieu, indépendamment de cette directive, la Cour de justice de l'Union européenne juge depuis 2012 que ces obligations violeraient nos droits à la vie privée et à la liberté d'information, tels que reconnus par la Charte de droits fondamentaux de l'Union européenne. Précisément, la Cour affirme qu'imposer à une plateforme de « procéder à une surveillance active de la quasi-totalité des données concernant lâ€'ensemble des utilisateurs de ses services, afin de prévenir toute atteinte future à des droits de propriété intellectuelle » (il s'agissait alors d'une affaire de contrefaçon) « impliquerait, dâ€'une part, lâ€'identification, lâ€'analyse systématique et le traitement des informations relatives aux profils créés sur le réseau social par les utilisateurs de ce dernier » et, d'autre part, « risquerait de porter atteinte à la liberté dâ€'information, puisque ce système risquerait de ne pas suffisamment distinguer entre un contenu illicite et un contenu licite, de sorte que son déploiement pourrait avoir pour effet dâ€'entraîner le blocage de communications à contenu licite ». Ainsi, une telle obligation « ne respecterait pas lâ€'exigence dâ€'assurer un juste équilibre entre le droit de propriété intellectuelle, dâ€'une part, et la liberté dâ€'entreprise, le droit à la protection des données à caractère personnel et la liberté de recevoir ou de communiquer des informations, dâ€'autre part » (SABAM c. Netlog, CJUE, 3ème ch., 16 février 2012, C-360/10, points 38, 49, 50 et 51). En troisième et dernier lieu, exiger que les géants surveillent tous les contenus en temps réel ne fera que favoriser le phénomène déjà problématique de la délocalisation à bas coût de la modération des contenus vers des armées d'employés travaillant dans des conditions extrêmement anxiogènes, afin de « compenser » des machines forcément imparfaites. La plupart souffrent déjà de traumatismes mentaux à force de « rester, des heures durant, l??il rivé sur un écran dâ€'ordinateur, où sâ€'affichent des images et des vidéos de corps déchiquetés et écartelés, dâ€'enfants noyés ou violentés, sans compter le flot continu dâ€'injures et dâ€'appels aux meurtres ». Vouloir renforcer les obligations de censure imposées aux géants du Web est une fuite en avant. Elle repose sur l'idée aussi absurde que dangereuse que des solutions technologiques pourraient régler des problèmes avant tout sociaux et politiques. Surtout, elle refuse de prendre le problème à sa racine, pour se contenter d'en gérer les symptômes (nous dénoncions le même manque d'ambition dans la proposition de loi sur la diffusion de « fausses informations »). L'économie de l'attention, devenue hégémonique sur Internet, est au centre du problème que le gouvernement prétend vouloir résoudre : la sur-diffusion de propos anxiogènes ou violents et notre sur-exposition à des interactions non-souhaitées. Seul le développement de services ouverts ou neutres permettra d'en contenir les dérives - ce qui, au passage, permettra au juge de se recentrer sur les infractions les plus graves. Il y a bien des façons de favoriser le développement de ces alternatives. Nos propositions juridiques actuelles sont pensées comme des premières pistes, que nous vous invitons à discuter en nous écrivant ou en venant à notre prochaine réunion publique dans nos locaux, vendredi 12 octobre dès 19h, par exemple :)

Le 2018-10-24


  La-Quadrature - Un collectif assumé : compte rendu de notre assemblée générale
Paris, 5 octobre 2018 ? Comme annoncé fin 2017 lors du bilan de ses dix premières années, La Quadrature du Net a entamé une transformation profonde de son organisation et de ses modes d'action, pour tenir compte de son histoire et s'adapter à un environnement politique transformé. Cela s'est notamment traduit par un élargissement du noyau de l'équipe : il y a quelques mois, nous avons intégré une trentaine de bénévoles au fonctionnement et au travail quotidien de l'association, en qualité de membres. Pendant le week-end du 29-30 septembre, 26 membres et salarié·es de l'association se sont réuni·es pour une seconde assemblée générale (AG), accompagné·es à distance par certain·es des absent·es excusé·es. Beaucoup de choses devaient être évoquées : des souffrances personnelles qui avaient été exprimées, des réflexions collectives que nous devions faire aboutir, des chantiers ouverts à reprendre. Il fallait notamment définir l'accueil et l'organisation des nouveaux membres, la mise en place des outils nécessaires à nos actions et la feuille de route des prochaines actions militantes. C'est ce point d'étape que nous partageons avec vous aujourd'hui. Bilan des six derniers mois L'AG précédente avait formé des groupes de travail, soit en fonction des sujets traités par l'association (Startuffe Nation, surveillance d'État, régulation des télécoms, copyright, etc.), soit plus opérationnels comme le groupe adminsys, la revue de presse, la communication, ou le « routage » (l'accompagnement des nouveaux militants). Six mois après, nous constatons que cette méthode est efficace. Ces groupes possèdent une vraie souplesse, notamment pour travailler avec d'autres associations (par exemple, sur la régulation des télécoms, sujet partagé avec la Fédération FDN). Sans occulter les difficultés, nous avons partagé nos expériences les plus enthousiasmantes, les moments où nous avons été fièr·es de notre action à La Quadrature, où nous avons remporté des victoires. La campagne GAFAM a largement rempli ses objectifs. La balle est aujourd'hui dans le camp des CNIL européennes. La réforme européenne du droit des télécoms propose, pour la première fois, un cadre réglementaire taillé sur mesure pour les petits opérateurs (notamment ceux de FFDN, on vous en reparle bientôt). La campagne Stop Data Retention a rassemblé pour la première fois soixante ONG à travers l'Europe, et nos autres recours devant les juges avancent . Nous commençons à soulever le lièvre de la Smart City et de sa dimension « surveillance ». Nous avons amorcé un changement de position sur le statut des hébergeurs qui, même s'il suscite des interrogations chez nos allié·es historiques, nous semble ouvrir une voie utile pour limiter la nocivité des géants du Net et garantir un cadre juridique vivable aux hébergeurs neutres, et ainsi mieux protéger la liberté d'expression sur Internet. Concernant notre organisation, nous pouvons mentionner, en vrac : l'implication active des bénévoles dans la communication et l'image de La Quadrature (le nouveau site arrive), nos nombreuses interventions auprès d'étudiant·es et du grand public (nous avons quelque chose à transmettre !), notre instance Peertube qui est une des plus fournies du Fediverse. Pour plusieurs de nos membres, ces six derniers mois ont été l'occasion de faire leurs premières interventions publiques au nom de La Quadrature : l'association n'est plus centrée sur ses cofondateurs et portes-parole habituels, mais s'est élargie à l'ensemble de ses membres. Les expertises et les points de vue particuliers se confrontent, recréent du débat et nourrissent maintenant la voix de l'association. Au cours de ces six derniers mois, l'association a développé ses actions avec des méthodes de travail nouvelles qui portent déjà leurs fruits. Militer, ensemble : les vies de La Quadrature À travers une discussion ouverte et apaisée, nous avons pu faire le douloureux (mais lucide) constat d'un problème dans l'articulation entre deux éléments : une équipe de salarié·es faisant face à de très nombreuses sollicitations, dans un climat où en matière de libertés fondamentales tous les sujets ou presque sont urgents ; un bureau bénévole qui continuait à cristalliser des attentes irraisonnables, pour la plupart héritées de la structure très resserrée des débuts de La Quadrature, et empêchait mécaniquement une meilleure répartition des tâches et des responsabilités avec les autres membres. Tout cela générait des tensions. C'est dans ce contexte que, après dix ans d'engagement au sein de La Quadrature, Félix ? l'un des deux co-présidents ? a annoncé qu'il quittait le bureau, estimant que les chantiers d'organisation étaient suffisamment avancés pour qu'il prenne un peu de recul. Benjamin Bayart, qui l'épaulait à ce poste, a décidé de faire de même. Tous les deux restent membres de l'association et continuent à s'investir dans des dossiers majeurs. Tout ceci nous a conduit à prendre le temps d'une discussion de fond et à repenser en profondeur l'organisation de l'association. L'idée est de permettre à l'ensemble des membres de travailler main dans la main avec l'équipe salariée, à travers différents groupes fluides et fonctionnels. Nous avons également consacré la collégialité dans la prise de décision, avec une large autonomie laissée à ces groupes. Un nouveau bureau a été élu ? destiné à jouer un rôle purement administratif (c'est une obligation légale) ? et les rôles au sein du bureau ont été tirés au sort. Sa composition est transitoire et sera revue à l'occasion de la refonte des statuts lors de la prochaine AG, dans 6 mois. L'ouverture en actes Le gros chantier de cette AG consistait à définir les conditions d'accueil des nouve·lles membres, dans le cadre d'un deuxième élargissement à venir pour s'ouvrir à de nouvelles expertises et bonnes volontés. Tout était à inventer. Nous publierons avant la fin de l'année des informations sur la manière dont les bénévoles peuvent devenir membres de LQDN. Le statut de membre entérine en fait un engagement aux côtés de l'association. Ce qui implique que l'action quotidienne de LQDN s'accompagne de nouveaux espaces de travail ouverts à tou·tes. C'est une nécessité, compte tenu du nombre des sujets à traiter, de l'importance de faire vivre le débat, de partager les expertises, et de trouver de nouveaux leviers de mobilisation collective. Nous vous présenterons donc, dans les prochaines semaines, de nouveaux espaces pour travailler ensemble sur les très nombreux sujets dont La Quadrature peut s'emparer. Conclusion Au total, cette assemblée générale à mi-parcours nous a tou·tes surpris·es. Tout s'est encore mieux passé que prévu. Nous avons pris deux jours pour faire le point, comprendre les souffrances de chacun·e, dans un calme et une écoute exemplaires. Nous sommes parvenu·es à tout mettre sur la table pour acter des méthodes nouvelles et précises, sans fâcher ni exclure personne. Il s'agit maintenant de pérenniser ce travail dans nos statuts. L'horizon politique est ce qu'il est, et celui du numérique est inquiétant. En dépit d'un contexte hostile, ou à cause de lui, nous jouerons à fond notre rôle dans la défense politique et juridique d'un Internet libre, tourné vers l'émancipation, en lien avec d'autres organisations militantes. En repensant notre organisation, nous travaillons à nous remettre en question pour nous réinventer et jouer ce rôle du mieux que nous le pourrons, en prenant soin les un·es des autres. Internet, Datalove et libertés <3

Le 2018-10-24


  La-Quadrature - Accès Internet en vol : Air France oublie la neutralité du Net sur le tarmac
Paris, 2 octobre 2018 ? L'entreprise Air France a annoncé le 26 septembre la mise à disposition d'une offre d'accès à Internet par Wi-Fi à bord de ses avions. Cette offre propose différentes tarifications, basées non pas sur un quota de données ou une vitesse de connexion, mais sur une hiérarchisation des services. L'accès « gratuit » permet aux voyageurs de communiquer via Whatsapp (Facebook), Facebook Messenger, iMessage (Apple) ou WeChat (Tencent). L'opérateur aérien favorise donc ces trois entreprises en incitant fortement ses passagers à passer par leurs services, à l'exclusion de tous les autres, créant ainsi une distorsion de concurrence évidente en empêchant les personnes utilisant d'autres protocoles et services de communiquer (que ce soit dans un cadre personnel ou professionnel). Les deux autres possibilités payantes offrent respectivement un accès aux Web/Mail (et non à l'ensemble d'Internet comme annoncé) et à des services de streaming. On peut facilement craindre qu'elles limitent elles aussi les accès des utilisateurs aux seuls services mis en valeur par la compagnie. Cette offre limitée d'accès au réseau viole outrageusement la neutralité du Net, garantie notamment par le Règlement (UE) 2015/2120 du Parlement européen et du Conseil du 25 novembre 2015 établissant des mesures relatives à lâ€'accès à un Internet ouvert. En effet, elle discrimine certains services aux dépens d'autres pourtant similaires, aux dépens des utilisateurs de ces derniers. L'ajustement des offres ne devrait avoir lieu que sur l'utilisation des ressources et non sur la discrimination de services. Depuis de nombreuses années, La Quadrature du Net met en garde contre l'avènement d'un Internet à plusieurs vitesses, où des gardiens du temple favoriseraient les acteurs installés et leurs partenaires commerciaux, attaquant du même geste la liberté de choix des utilisateurs et utilisatrices, la concurrence non-faussée entre les services et, par extension, l'incroyable capacité d'innovation d'Internet. Nous appelons Air France à revoir sa copie et à offrir à tous ses voyageurs un accès égal à Internet, quels que soient les services qu'ils souhaitent utiliser.

Le 2018-10-24


  La-Quadrature - Réguler Internet par la décentralisation
27 septembre 2018 - La directive droit dâ€'auteur et les récents débats sur les « fausses informations » ont servi dâ€'introduction au débat général sur la régulation du Web, tel qu'il s'annonce pour l'année à venir. Aujourd'hui, La Quadrature du Net présente ses propositions concrètes. Le gouvernement français veut que les grands réseaux sociaux arrêtent de favoriser la diffusion de « propos haineux ou extrémistes ». Soit. Le rapport visant à « renforcer la lutte contre le racisme et l'antisémitisme sur Internet », commandé par le Premier ministre et publié jeudi dernier, l'explique très bien. Il dénonce « un lien pervers entre propos haineux et impact publicitaire : les personnes tenant des propos choquants ou extrémistes sont celles qui "rapportent" le plus, car l'une d'entre elles peut en provoquer cinquante ou cent autres. Sous cet angle, l'intérêt des réseaux sociaux est d'en héberger le plus possible ». Plus généralement, le rapport regrette la « règle selon laquelle un propos choquant fera davantage de "buzz" qu'un propos consensuel, alimentant de façon plus sûre le modèle économique des plateformes ». C'est la même analyse que nous faisions pour expliquer pourquoi attaquer Google ou Facebook en mai dernier, quand nous préparions nos plaintes collectives contre les GAFAM. Pour compenser cette « règle » qui rendrait la haine et le conflit rentables, le gouvernement veut renforcer les obligations imposées aux plateformes géantes qui en profitent : transparence et devoir de vigilance accrus. Pourquoi pas (cela peut être fait de façon plus ou moins pertinente, nous y reviendrons plus tard). Mais cette solution ne suffira jamais à contrer à elle seule les dérives permises par la « rentabilité du conflit ». Et il est illusoire d'imaginer, comme le fait le rapport cité ci-dessus, qu'on pourrait atténuer ce problème en mettant un juge derrière chaque diffamation ou injure prononcée sur Internet. Il y en a bien trop. Non, si on veut traiter le problème sérieusement, c'est l'ensemble de l'économie de l'attention qu'il faut remettre en question. Et cela doit passer par l'émergence d'alternatives saines qui reposent sur un autre modèle que celui des GAFAM. Un droit actuel favorable aux géants Aujourd'hui et depuis 15 ans, le droit freine le développement de telles alternatives. Il impose des obligations lourdes à tous les « hébergeurs » (les personnes qui conservent et diffusent sur Internet des contenus fournis par le public). Si un contenu « manifestement illicite » est signalé à un hébergeur, il doit le censurer « promptement » ou en devient personnellement responsable1. En pratique, à La Quadrature du Net, nous avons songé à devenir un hébergeur de vidéos (en autorisant tout le monde à mettre en ligne des vidéos sur notre service de streaming Peertube). Ce serait une façon concrète de participer à la construction d'une alternative à Youtube, qui ne tirerait aucun profit des discours conflictuels ou de la surveillance de masse. Mais nous avons dû y renoncer. Nous n'avons pas du tout assez de juristes pour évaluer quelles vidéos seraient « manifestement illicites ». Nous n'avons pas les moyens de supporter des amendes en cas de plaintes. Youtube reste maître. Alléger le régime des hébergeurs en les distinguant des plateformes géantes Si le gouvernement veut effectivement lutter contre la diffusion de « contenus haineux et extrêmes », il doit changer le droit pour favoriser le développement d'alternatives à l'économie de l'attention. Voici notre proposition. Premièrement, que les hébergeurs ne soient plus soumis aux mêmes obligations que les plateformes géantes, qui régulent les informations de façon active pour leurs intérêts économiques. Secondement, que les hébergeurs, qui ne tirent aucun profit en mettant en avant de tel ou tel contenu, ne supportent plus la charge d'évaluer si un contenu est « manifestement illicite » et doit être censuré. Seul un juge doit pouvoir leur exiger de censurer un contenu. Le cercle vertueux de la régulation décentralisée Permettre à une multitude de petits hébergeurs de se développer fait naître l'espoir d'une auto-régulation efficace, placée dans les mains de l'ensemble de la population. Dans le cadre de la loi, chaque hébergeur applique ses propres règles de modération, plus ou moins stricte, et chaque personne choisit l'espace de discussion adapté à ses besoins et à ses envies. La liberté de ce choix est renforcée par le développement des standards de « réseaux sociaux décentralisés », notamment du standard ActivityPub publié en janvier 2018 par le World Wide Web Consortium (W3C, à lâ€'origine des standards du Web) et déjà appliqué par Mastodon (alternative à Twitter) ou Peertube. Ces standards permettront à une infinité d'hébergeurs de communiquer entre eux, selon les règles de chacun. Ils permettront aussi à chaque personne de passer librement d'un hébergeur à un autre, d'un jeu de règles à un autre (ce que les plateformes géantes font tout pour empêcher aujourd'hui). Chaque personne choisira de s'exposer ou non à tel ou tel type de conflit, et chaque hébergeur modérera sa communauté à une échelle humaine. Cette structure offre l'espoir de diminuer significativement les conflits interpersonnels non-souhaités sur Internet. Ainsi, les juridictions n'auront plus à trancher autant de conflits qu'il en existe sur les plateformes géantes et pourront se recentrer sur les infractions les plus graves. Si le gouvernement veut mieux réguler le Web, il doit le faire sérieusement. En se contentant d'alourdir les obligations des géants, son action restera superficielle. Pour agir en profondeur et sur le long terme, sa démarche doit aussi être constructive, favorisant le développement de modèles vertueux. 1. Cette règle est posée par l'article 6 de la loi pour la confiance dans l'économie numérique (LCEN) de 2004, transposant l'article 14 de la directive européenne de 2000 sur le commerce électronique.

Le 2018-10-24


  La-Quadrature - Le fichier TES, prémisse à la reconnaissance faciale de masse, arrive devant le Conseil d'État
26 septembre 2018 - Mercredi 3 octobre prochain à 14h se tiendra au Conseil d'État l'audience concernant le fichier TES. Ce décret, publié le 28 octobre 2016, autorise la création par le Gouvernement d'un fichier regroupant les données biométriques de la quasi-totalité de la population française. Dès le 27 décembre 2016, La Quadrature du Net, avec le soutien des Exégètes amateurs, avait demandé l'annulation de ce décret. Venez avec nous assister à l'audience ! Le décret n°2016-1460 du 28 octobre 2016 autorise la création par le Gouvernement d'une base de données regroupant les données biométriques (visage, empreintes digitales, noms, domicile, sexe, couleur des yeux, taille....) de la quasi-totalité de la population française, avec, comme objectif affiché, la simplification des démarches administratives liées à la délivrance des cartes d'identité et des passeports ainsi que la lutte contre leur falsification et contrefaçon. Le 26 décembre 2016, La Quadrature du Net avait déposé, avec le soutien des Exégètes amateurs, une requête introductive d'instance devant le Conseil d?État visant à faire annuler ce décret avant de déposer un mémoire complémentaire le 27 mars 2017 et un mémoire en réplique, à la suite de la défense du gouvernement, le 18 août 20171. Depuis, aucune nouvelle jusqu'à ce qu'on nous annonce aujourd'hui qu'une audience aura lieu le mercredi 3 octobre prochain devant le Conseil d?État. Comme nous l'avions relevé dans nos écritures (en lien ci-dessus), la création d'une telle base de données est inutile pour atteindre l'objectif annoncé. Celui-ci aurait pu en effet être poursuivi tout aussi efficacement en prévoyant la conservation de ces informations sur le seul titre dâ€'identité (au moyen d'une puce électronique), tout en faisant disparaître les risques liés à leur centralisation (risques politiques de dévoiement du fichier et risques techniques de fuites de données biométriques). C'est déjà ce que prévoit l'Union européenne pour les passeports et bientôt les cartes d'identité : les données doivent être conservées sur le titre. En réalité, et nous l'avions souligné dès la publication du décret, la création du fichier TES (et l'enregistrement automatisé des images des visages de la population) préfigure le développement et l'utilisation par le Gouvernement des technologies de reconnaissance faciale à des fins de surveillance généralisée de la population Son article 4 prévoit ainsi déjà que l'accès à ce fichier n'est pas limité à la lutte contre la falsification et la contrefaçon mais également ouvert aux agents « chargés des missions de prévention et de répression des atteintes aux intérêts fondamentaux de la Nation et des actes de terrorisme » (à l'exclusion des données concernant les empreintes digitales). D'ores et déjà, ce champ d'application très flou laisse craindre d'importantes dérives dans les usages policiers de ce fichier. À l'avenir, ils pourront être encore démultipliés par la voie d'une simple modification législative ou réglementaire, par exemple pour permettre de coupler ce fichier aux systèmes de surveillance dopés aux Big Data dont certaines polices municipales commencent à s'équiper. L'actualité montre que nos craintes était bien fondées et que la reconnaissance faciale risque d'être l'un des outils principaux de la surveillance de masse de la population par les autorités. Si celle-ci est déjà mise en ?uvre à grande échelle dans certains États (notamment en Chine), elle se développe à grande vitesse également en France, que ce soit dans nos aéroports, dans nos gares ou dans nos lycées. En 2016, quelques semaines avant la création du fichier TES, des propositions de loi avaient d'ailleurs été déposées visant à coupler vidéosurveillance et reconnaissance faciale pour les « fichés S »2. Face à ce raz-de-marée qui déferle dans une relative indifférence, la CNIL en est aujourd'hui réduite à appeler « à un débat démocratique » sans pouvoir (ou sans oser ?) user de ses pouvoirs pour barrer la route à ces premiers déploiements grandeur nature. Le fichier TES constitue en tous cas le préalable technique au développement généralisé et définitif de la reconnaissance faciale. Il nous faut obtenir du Conseil d'État son annulation et sa destruction. Vous êtes toutes et tous invités à venir assister avec nous à l'audience de mercredi. Elle aura lieu à 14h (mais venez à l'avance !) au Conseil d'État, 1 place du Palais-Royal à Paris. À mercredi ! 1. La requête introductive d'instance est le premier mémoire envoyé au Conseil d'Etat pour introduire une demande en justice et doit être déposée dans les délais légaux de recours. Le mémoire complémentaire peut être envoyé plus tard et a pour but de développer les différents arguments. Le mémoire en réplique est envoyé pour répondre aux écritures de la partie adverse, ici le Gouvernement 2. Quelques semaines avant l'adoption du fichier TES fin 2016, plusieurs propositions de loi avaient tenté d'inaugurer la reconnaissance faciale pour la lutte antiterroriste. Au même moment, on voyait dans les villes du Sud Est mise en avant la « vidéosurveillance intelligente » pour repérer des terroristes (en fait des fichés S) dans la rue (voir par exemple à Marseille). Opération de com concertée pour mettre la pression sur le gouvernement de l'époque ? Dans l'exposé des motifs de la PPL du Sénat, on pouvait lire : L'efficacité de la reconnaissance faciale dépend de plusieurs facteurs clés : la qualité de l'`image, la puissance de l'algorithme d'identification et l'accès à une base de données fiables. Toute la difficulté est d'établir des points de correspondance entre la nouvelle image et l'image source, en d'autres termes, les photos d'individus connus. Chaque fiche du fichier automatisé des empreintes digitales (FAED) comporte une photo prise dans un cadre normalisé et identique pour toutes, seule exploitable par des logiciels de reconnaissance faciale. Tel n'est pas le cas des autres fichiers, notamment celui des personnes recherchées (FPR) qui mentionne lui l'identité des personnes faisant l'objet de recherches pour prévenir des menaces graves pour la sécurité publique ou la sûreté de l'État dans ses fameuses « fiche S », mais ne comporte pas nécessairement de photos et ne contient pas de données anthropométriques. La présente proposition de loi a donc pour objet de permettre le couplage du fichier automatisé des empreintes digitales et du fichier des personnes recherchées, afin de constituer une base de données fiable, qui sera ensuite reliée à un système de vidéo-protection. Elles ne sont pas passées, mais le fichier TES était créé quelques mois plus tard.

Le 2018-10-24


  La-Quadrature - La directive Copyright nâ€'est pas une défaite pour lâ€'Internet Libre et Ouvert !
18 septembre 2018 - Bien que la directive droit d'auteur soit le symptôme d'une soumission économique de nos industries aux géants du Web, elle crée néanmoins l'opportunité de remettre en cause ces géants, au profit de l'Internet décentralisé. C'est ce que nous rappelle Calimaq, membre de La Quadrature du Net, dans cette tribune - initialement publiée sur son blog. Quâ€'est-ce quâ€'une victoire et quâ€'est-ce quâ€'une défaite ? En un peu plus de 10 ans de militantisme pour les libertés dans lâ€'environnement numérique, jâ€'ai souvent eu lâ€'occasion de me poser cette question. Et elle surgit à nouveau de la plus cruelle des manières, suite au vote du Parlement européen en faveur de la directive sur le Copyright, alors même que le précédent scrutin en juillet avait fait naître lâ€'espoir dâ€'une issue différente. Lâ€'expérience mâ€'a cependant appris que rien nâ€'est plus trompeur que les votes parlementaires pour apprécier si lâ€'on a « gagné » ou « perdu ». En 2012, lorsque le Parlement européen avait rejeté lâ€'accord anti-contrefaçon ACTA, nous pensions avoir remporté une victoire historique qui changerait le cours des choses. Et nous avons ensuite sincèrement ?uvré en ce sens, pensant que ce serait le premier acte dâ€'une réforme positive du droit dâ€'auteur. Mais le recul nous montre quâ€'il sâ€'agissait en réalité dâ€'une simple séquence au sein dâ€'un ensemble plus vaste, qui a progressivement conduit au revers de cette semaine. Les votes dans les assemblées nous abusent telles des illusions dâ€'optique, parce quâ€'ils ressemblent à ce que les spécialistes de stratégie appellent des « batailles décisives ». Pendant des siècles, les généraux ont cherché à obtenir cet ultime Graal de lâ€'art militaire : un unique affrontement ayant la faculté de mettre fin à la guerre en désignant sans ambiguïté un gagnant et un perdant. Mais les historiens ont montré que la bataille décisive constituait aussi un mythe dangereux, dont la poursuite pouvait devenir la cause même de la défaite. En 1941, au début de lâ€'opération Barbarossa, lâ€'armée nazie remporte ainsi sur les soviétiques une série de victoires comptant parmi les plus spectaculaires de toute lâ€'histoire. Mais ces succès ne lâ€'empêchèrent pas ensuite de connaître un échec cuisant devant Moscou, qui marquera le point de départ dâ€'un lent déclin les conduisant à une déroute totale en 1945. Or une des grandes différences entre lâ€'Armée allemande et lâ€'Armée rouge durant la Seconde Guerre mondiale, câ€'est que la seconde avait compris quâ€'il lui fallait arrêter de chercher à remporter une bataille décisive pour espérer gagner la guerre, tandis que les nazis se sont accrochés jusquâ€'au bout à ce mythe qui a fini par les perdre. Or il y a un parallèle à faire entre cette histoire et celle de la lutte pour les libertés numériques. Trop souvent, nous avons concentré nos énergies sur des combats législatifs, hypnotisés par lâ€'idée que le décompte des voix conduirait à une sorte « dâ€'ordalie démocratique ». Cela nous a donné plusieurs fois lâ€'illusion dâ€'avoir remporté quelque chose, comme au moment du rejet de lâ€'ACTA, alors que les racines du problème restaient intactes. Mais heureusement en sens inverse, si la victoire nâ€'est jamais acquise en cas de succès législatif, il en est de même pour la défaite. Et rien ne serait plus faux que de penser que le vote de cette semaine sur la directive Copyright constitue la fin de lâ€'histoire, sous prétexte que nous aurions encaissé là une défaite décisive ! Nous avons pas « perdu Internet » ! Certes les articles 11 et 13 du texte, qui instaurent une obligation de filtrage automatisé des plateformes et une taxe sur les liens hypertextes au profit des éditeurs de presse, représentent des monstruosités contre lesquelles il était nécessaire de lutter. Mais il convient à présent dâ€'apprécier exactement la portée de ces mesures, pour réadapter très rapidement notre stratégie en conséquence à partir dâ€'une appréhension claire de la situation. Or cette « vision stratégique dâ€'ensemble » est à mon sens précisément ce qui a manqué tout au long de cette campagne dans le camp des défenseurs des libertés numériques et il est inquiétant de constater que ces erreurs de jugement nâ€'ont pas disparu maintenant que lâ€'heure est venue dâ€'analyser les conséquences du scrutin. On a pu voir par exemple cette semaine lâ€'eurodéputée du Parti Pirate Julia Reda expliquer sur son blog que ce vote constituait un « coup dur porté à lâ€'internet libre et ouvert » (Todayâ€'s decision is a severe blow to the free and open internet). De son côté, Cory Doctorow a écrit un article sur le site de lâ€'EFF, où il affirme que « lâ€'Europe a perdu Internet » (Today, Europe lost the Internet). Sur Next INpact, Marc Rees déplore dans la même veine « une mise au pilori du Web tel que nous le connaissons, un affront à la liberté dâ€'expression. » Ces appréciations font écho au mot dâ€'ordre qui fut celui des défenseurs des libertés en campagne contre les articles 11 et 13 de la Directive : Save Your Internet (Sauvez votre Internet). Or lorsquâ€'on lit attentivement ces articles, tels quâ€'amendés par le vote des eurodéputés, on se rend compte quâ€'ils ne visent pas pas « lâ€'Internet » ou « le Web » tout entier, mais seulement une catégorie dâ€'acteurs déterminés, à savoir les plateformes centralisées à but lucratif. Ce nâ€'est donc pas « lâ€'Internet libre et ouvert » qui va être frappé par cette directive, mais plutôt exactement ce qui représente son antithèse ! A savoir cette couche dâ€'intermédiaires profondément toxiques qui ont dénaturé au fil du temps les principes sur lesquels Internet et le Web sâ€'appuyaient à lâ€'origine pour nous faire basculer dans la « plateformisation ». Pour se convaincre que ces acteurs nâ€'ont absolument plus rien à voir avec un Internet « libre et ouvert », il est bon de relire ce que Tim Berners-Lee, lâ€'inventeur du web, en disait au mois dâ€'août dernier : Nous avons démontré que le Web avait échoué au lieu de servir lâ€'humanité, comme il était censé le faire, et quâ€'il avait échoué en de nombreux endroits. La centralisation croissante du Web, dit-il, a fini par produire ? sans volonté délibérée de ceux qui lâ€'ont conçu ? un phénomène émergent à grande échelle qui est anti-humain. Or le grand mensonge sur lesquels sâ€'appuient les GAFAM ? principaux responsables de cette centralisation -, câ€'est de chercher à faire croire quâ€'ils représentent à eux-seuls lâ€'Internet tout entier, comme si rien ne pouvait plus exister en dehors de leur emprise. En ce sens quand jâ€'entends Cory Doctorow dire que nous « avons perdu Internet » à cause de mesures ciblant les acteurs centralisés lucratifs, je ne peux que frémir. Avec tout le respect que je peux avoir pour ce grand monsieur, ses propos paraissent avoir incorporé la prétention des GAFAM à recouvrir le web et câ€'est particulièrement grave. Car câ€'est précisément cela qui constituerait la défaite finale des défenseurs des libertés : se résigner à cet état de fait et ne pas agir sur les marges dont nous disposons encore pour briser cette hégémonie. Voilà pourquoi il faut aujourdâ€'hui lâ€'affirmer avec force : non, la directive Copyright nâ€'est donc pas une défaite pour lâ€'Internet Libre et Ouvert ! Câ€'est notre vision même du sens de la lutte quâ€'il faut aujourdâ€'hui urgemment reconfigurer, pour sortir de lâ€'ornière au fond de laquelle nous sommes en train de nous enfermer et qui ne peut nous conduire qu?à de nouvelles défaites plus cuisantes encore que celle-ci. Sortir dâ€'une conception « formelle » de la liberté dâ€'expression Sur Next INpact, Marc Rees identifie avec raison le changement le plus profond que ce texte va amener : il remet en question la distinction classique entre hébergeurs et éditeurs, issue de la directive eCommerce de 2000. Jusqu?à présent, les hébergeurs bénéficiaient dâ€'une responsabilité atténuée vis-à-vis des actes commis par leurs utilisateurs. Au lieu de cela, la directive Copyright introduit une nouvelle catégorie dâ€'intermédiaires dits « actifs » qui devront assumer la responsabilité des contenus quâ€'ils diffusent, même sâ€'ils ne sont pas directement à lâ€'origine de leur mise en ligne. Mais il est important de regarder quels critères la directive utilise pour identifier ce nouveau type dâ€'acteurs : La définition du prestataire de services de partage de contenus en ligne doit, au sens de la présente directive, englober les prestataires de services de la société de lâ€'information dont lâ€'un des objectifs principaux consiste à stocker, à mettre à la disposition du public ou à diffuser un nombre appréciable de contenus protégés par le droit dâ€'auteur chargés ou rendus publics par leurs utilisateurs, et qui optimisent les contenus et font la promotion dans un but lucratif des ?uvres et autres objets chargés, notamment en les affichant, en les affectant de balises, en assurant leur conservation et en les séquençant, indépendamment des moyens utilisés à cette fin, et jouent donc un rôle actif. On voit que le « rôle actif » se déduit de trois éléments : la taille de lâ€'acteur, son but lucratif et la hiérarchisation automatisée de contenus. Ce sont donc bien des plateformes centralisées lucratives, type Facebook ou YouTube, qui devront assumer cette nouvelle responsabilité. Pour y échapper, elles devront conclure des accords de licence pour rémunérer les ayant droits et, à défaut, déployer un filtrage automatisé des contenus a priori. En pratique, elles seront certainement toujours obligées de mettre en place un filtrage, car il est quasiment impossible dâ€'obtenir une licence capable de couvrir lâ€'intégralité des ?uvres pouvant être postées. Nous avons combattu en lui-même le filtrage automatique, car c?était une mesure profondément injuste et disproportionnée. Mais une question mérite d?être posée : au nom de quoi les défenseurs dâ€'un « Internet Libre et Ouvert » devraient-ils s?émouvoir de ce que les plateformes centralisées et lucratives perdent le bénéfice de la quasi-immunité dont elles bénéficiaient jusqu?à présent ? La directive a par ailleurs pris le soin de préciser que les « prestataires sans finalité commerciale, comme les encyclopédies en ligne de type Wikipedia » ainsi que les « plateformes de développement de logiciels Open

Le 2018-10-24


  La-Quadrature - Directive droit d'auteur : l'industrie culturelle et la presse réclament les miettes de l'économie de la surveillance de masse
12 septembre 2018 - Le Parlement européen vient d'adopter la directive droit d'auteur, qu'il avait pourtant rejetée une première fois cet été. En ayant fait adopter cette directive, les industries culturelles et de la presse réclament les miettes de l'économie de la surveillance de masse. Plutôt que de combattre cette capitulation devant les GAFAM, le gouvernement français l'a vigoureusement encouragée. En 20 ans, l'industrie culturelle française n'a jamais su s'adapter à Internet. Aujourd'hui, elle est folle de rage devant le succès de Netflix ou d'Amazon. Donc elle exige les miettes du gâteau. Elle veut contraindre les géants du Web, tels que Youtube ou Facebook, à partager avec elle les revenus de la publicité ciblée associée aux ?uvres dont ils sont les ayants-droits. Mais la publicité ciblée consiste surtout à surveiller tout le monde, partout, tout le temps, sans notre consentement libre. Depuis le 25 mai et le RGPD, c'est illégal, et c'est bien pourquoi nous avons attaqué chacun des GAFAM au printemps dernier devant la CNIL, dans des plaintes collectives réunissant 12 000 personnes. Pourtant, ayant échoué à évoluer, l'industrie culturelle française est aujourd'hui prête à s'associer à ce modèle illégal. Avec le vote d'aujourd'hui, le financement de la culture se soumet à l'économie de la surveillance de masse. Et il est injustifiable que le gouvernement français, en soutenant lui aussi cette directive, ait consacré la toute puissance illicite des géants du Web, plutôt que de combattre leur modèle de surveillance pour nous en protéger. Hélas, le débat ne s'arrête pas là. À côté, on retrouve les éditeurs de presse qui, eux non plus, pour la plupart, n'ont jamais su s'adapter. Du coup, ils exigent aujourd'hui que Facebook et Google les financent en les payant pour chaque extrait d'article cité sur leur service. Mais quand les revenus du Monde ou du Figaro dépendront des revenus de Google ou de Facebook, combien de temps encore pourrons-nous lire dans ces journaux des critiques de ces géants ? Plutôt que de s'adapter, les éditeurs de presse préfèrent renoncer entièrement à leur indépendance, sachant par ailleurs que bon nombre d'entre eux mettent en ?uvre des pratiques tout aussi intrusives que celles des GAFAM en matière de publicité ciblée (relire notre analyse de leurs pratiques et de leurs positions sur le règlement ePrivacy). Ici encore, le gouvernement français a encouragé cette capitulation générale face aux géants du Web, qui passent encore davantage pour les maîtres de l'Internet. Pourtant, ils ne sont les maîtres de rien du tout. Internet n'a pas besoin de Google ou de Facebook pour nous permettre de communiquer. Au contraire, ces géants nuisent à nos échanges, pour mieux vendre leur publicité. Le vote d'aujourd'hui est le symptôme de l'urgence qu'il y a à changer de cadre. Le gouvernement français doit accepter qu'Internet ne se résume pas à une poignée de monopoles. Il doit renoncer aux multinationales du numérique et, enfin, commence à promouvoir le développement d'un Internet décentralisé - seul capable de respecter nos droits et libertés. Maintenant.

Le 2018-09-12


  La-Quadrature - Censure antiterroriste: la Commission européenne veut détruire l'Internet décentralisé
12 septembre 2018 - Ce matin, alors que toute l'attention était tournée vers l'adoption de la directive droit d'auteur, la Commission européenne a publié sa proposition de règlement contre la propagande terroriste en ligne. Ce texte sécuritaire prévoit d'imposer plusieurs obligations aux hébergeurs, et notamment le retrait en moins d'une heure des contenus signalés. Il banalise la censure policière ou privée et donc le contournement de la justice. Il fait des filtres automatiques - justement au coeur du débat sur la directive droit d'auteur - la clé des politiques de censure à l'ère numérique1. En pratique, seule une poignée d'hébergeurs pourront satisfaire de telles obligations - en particulier le délai d'une heure pour censurer les contenus. Les autres hébergeurs - la très grande majorité qui, depuis les origines, ont constitué le corps d'Internet - seront incapables d'y répondre et s'exposeront systématiquement à des sanctions. Si ce texte était adopté, les quasi-monopoles du Net (Google, Amazon, Facebook, Apple, Microsoft, Twitter...) se verront consacrés dans leur rôle clé pour les politiques sécuritaires des États membres, et renforcés dans leurs positions ultra-dominantes - tous les autres services ayant du fermer boutique, y compris les services décentralisés qui respectent nos droits. Après avoir vaguement prétendu nous défendre avec le RGPD, la Commission européenne change radicalement de direction et compte désormais défaire l'État de droit en renforçant et en pactisant avec des firmes surpuissantes, qui exploitent nos libertés. Pourtant, le reste de l'Internet, l'Internet décentralisé et gouvernable de façon démocratique, repose sur un contrôle fin et adapté à chaque personne des contenus qui y sont diffusés. Cette organisation est une des solutions les plus pertinentes pour freiner la propagation de messages problématiques, mais la Commission compte justement la détruire en lui imposant des obligations impossibles à respecter. En pratique, la proposition de la Commission est donc non seulement inutile - les géants sont déjà largement actifs pour surveiller et censurer et collaborent très largement avec les autorités en matière antiterroriste.2 Elle est surtout contre-productive : son principal effet serait de détruire l'unique version d'Internet compatible avec nos libertés fondamentales. 1. Ce réglement prévoit une obligation pour tout hébergeur Internet, quelque soit sa taille ou son fonctionnement, de retirer dans un délai d'une heure les contenus jugés de nature terroriste, en cas d'injonction faite par les autorités judiciaires ou administratives (article 4). Il permet également à ces dernières d'imposer une telle censure non sur la base du droit national applicable (par exemple, en France, le décret Cazeneuve de février 2015), mais sur la base des conditions d'utilisation des plateformes (article 5). Le texte invite aussi les acteurs du Net à adopter des mesures « proactives », sous la forme de filtres automatiques scannant les contenus mis en ligne pour bloquer ceux correspondants à certains critères arrêtés par ces firmes (article 6). 2. Depuis 2015, les États comme la France et des organisations telles qu'Europol ont développé de multiples partenariats avec les géants du numérique pour lutter contre la propagande terroriste, le plus souvent au mépris du droit international.

Le 2018-09-12


  La-Quadrature - Directive sur le droit dâ€'auteur : lâ€'affrontement factice des deux têtes du capitalisme informationnel
10 septembre 2018 - Un quart de siècle quâ€'on se repasse ce même mauvais film, celui où les industries culturelles instrumentalisent la loi pour faire la guerre à leur public. En cause cette fois-ci, lâ€'article 13 de la directive sur le droit dâ€'auteur en cours dâ€'examen à Bruxelles, et sur lequel le Parlement européen se prononcera le 12 septembre. Dans sa rédaction actuelle, cette disposition impose que, dans le cadre dâ€'accords avec les sociétés dâ€'ayants droit (telle la Sacem), les ­plates-formes numériques (YouTube, Facebook et consorts) recourent à des outils de ­filtrage automatisés. Le but ? Repérer les ­contenus ­publiés par les internautes et bloquer ceux ­incluant des ?uvres couvertes par le droit dâ€'auteur. Une forme de censure préalable, automatisée et privatisée. Rien de bien nouveau, donc. En effet, depuis le milieu des années 1990, les industries culturelles (musique, cinéma, édition?) nâ€'ont eu de cesse dâ€'exiger des législateurs et des tribunaux la « collaboration » forcée des fournisseurs ­dâ€'accès à Internet et des hébergeurs pour lutter ­contre l?échange gratuit d??uvres culturelles sur les réseaux. Nous republions la tribune de Félix Tréguer parue dans Le Monde le 8 septembre 2018 Lâ€'ACTA rejeté en 2012 A l?époque déjà, ces débats avaient conduit à la mobilisation des associations de défense des droits dans lâ€'environnement numérique. Comme aujourdâ€'hui, ces dernières faisaient valoir que la logique poursuivie était dangereuse, puisquâ€'elle revenait à confier à des entreprises privées un rôle de surveillance et de censure des communications sur le Net. Ces débats débouchèrent en Europe sur un compromis instable à travers une directive adoptée en juin 2000, qui semblait donner gain de cause aux militants et aux acteurs de l?économie numérique. Les « intermédiaires techniques » dâ€'Internet, et en particulier les hébergeurs, ne seraient plus inquiétés tant quâ€'ils ne joueraient pas de rôle actif dans la diffusion des contenus litigieux. Il leur fallait répondre aux demandes judiciaires visant à retirer les publications illicites, mais les Etats ne pourraient pas leur imposer d?« obligation générale de surveillance » des communications pour détecter et empêcher de telles publications. Depuis, les initiatives visant à imposer des filtres automatiques se sont pourtant multipliées. Et parfois, en France notamment, leurs promoteurs ont eu gain de cause devant les tribunaux. Toutefois, dans deux arrêts importants rendus en 2011 et 2012 au nom de la protection de la liberté de communication et de la vie privée, la Cour de justice de lâ€'Union européenne sâ€'est opposée aux demandes dâ€'une ­société de gestion visant à imposer à un fournisseur dâ€'accès ou à un hébergeur la mise en place de tels filtres. En 2012, le Parlement européen a également rejeté lâ€'Accord commercial anti-contrefaçon (ACTA), qui aurait pu banaliser, à l?échelle mondiale, le recours à ces outils de filtrage. Surveillance des utilisateurs Sauf que, entre-temps, l?économie politique dâ€'Internet a été profondément ébranlée par lâ€'apparition dâ€'un nouvel oligopole, composé de quelques firmes presque entièrement consacrées à la régulation algorithmique de lâ€'information. Il y a ainsi plus de dix ans que Google, mis sous pression par les multinationales du divertissement, a déployé au sein de sa filiale YouTube un système de filtrage baptisé Content ID. En scannant automatiquement lâ€'ensemble des vidéos mises en ligne par les utilisateurs et en les confrontant à une base de données de contenus soumis au droit dâ€'auteur, les algorithmes de Content ID permettent aux ayants droit de bloquer ou de monétiser les vidéos incluant des ?uvres dont ils détiennent les droits. Un dispositif que lâ€'article 13 de la directive sur le droit dâ€'auteur cherche à généraliser. Or, Content ID a conduit à de nombreux cas de censure voyant des ayants droit revendiquer des ?uvres qui ne leur appartenaient pas. Il sâ€'avère aussi incapable de respecter les exceptions légales au droit dâ€'auteur ­(citation, parodie?) sur lesquelles se fondent des nouvelles pratiques artistiques (remix, mashups?). Google a donc beau jeu de critiquer lâ€'article 13 au nom de la défense des libertés, en châ€'ur avec dâ€'autres entreprises du numérique qui ont placé la censure privée et la surveillance des utilisateurs au câ€'ur de leurs modèles économiques. Incapables de repenser les politiques culturelles A lâ€'hypocrisie des géants du numérique ­répond celle des industries culturelles. Trop occupées à défendre une vision « propriétariste » du droit dâ€'auteur et à réprimer le partage d??uvres sur les réseaux peer to peer (« de pair à pair »), elles se montrent incapables de repenser les politiques culturelles à l?ère numérique. Résultat : elles en sont aujourdâ€'hui réduites à négocier piteusement avec les grandes entreprises de technologie qui, profitant de leur incurie, ont raflé la mise. Car câ€'est bien ce qui se joue actuellement avec la directive sur le droit dâ€'auteur : lâ€'affrontement des deux têtes de lâ€'hydre du capitalisme ­informationnel. Industries culturelles versus ­plates-formes numériques, qui veulent chacune se ménager le maximum de marge de manâ€'uvre dans leur négociation dâ€'une forme de « licence globale » privatisée, laquelle viendra renforcer leurs positions oligopolistiques au détriment tant du public que des artistes. Que faire pour sortir de ce cycle délétère ? Dâ€'abord, rejeter lâ€'article 13 et le monde quâ€'il représente, celui où lâ€'espace public et la liberté dâ€'expression sont soumis aux décisions dâ€'algorithmes opaques. Si le Parlement européen tient encore à inscrire lâ€'Union européenne dans la tradition de lâ€'Etat de droit, il réaffirmera la position qui est la sienne depuis près de vingt ans et le rejettera. Et après ? On voudrait croire, comme nous lâ€'avions cru en 2012 avec le rejet de lâ€'ACTA, quâ€'une telle décision marquera le début dâ€'une refondation des politiques culturelles et ­numériques. Mais, en dépit de quelques signes encourageants de lâ€'UE pour contrer la dominance des Gafam (Google, Apple, Facebook, Amazon et Microsoft), il y a fort à parier que les Etats continueront de composer avec les ­nouveaux seigneurs de lâ€'espace public? Dâ€'où lâ€'importance de cultiver des espaces de résistance renouant avec le projet de faire dâ€'Internet une bibliothèque universelle, envers et contre le droit si nécessaire. Félix Tréguer Postdoctorant à lâ€'Institut des sciences de la communication (CNRS), associé au projet NetCommons, consacré aux réseaux Internet citoyens au sein du pôle Gouvernance de lâ€'information et des communs, et coprésident de La Quadrature du Net, une association qui défend les droits et les libertés numériques.

Le 2018-09-10


  La-Quadrature - Un collège-lycée contraint illégalement des enfants à être traçables en permanence
30 juillet 2018 - Il y a dix jours, une lycéenne de l'établissement scolaire privé Rocroy Saint-Vincent de Paul, à Paris, a révélé un changement du règlement intérieur de l'établissement. À compter de la rentrée, chaque collégien et lycéen devra porter sur lui un porte-clef fourni à l'établissement par la start-up française New School et qui permettra de localiser l'élève via une puce Bluetooth intégrée. Voici le résultat de notre analyse juridique et technique de ce système, concluant à son illégalité. Fonctionnement du porte-clef L'établissement scolaire a expliqué que le porte-clef obligatoire lui sera fourni par New School, une start-up française soutenue notamment par Apple1 et Qwant2. Le porte-clef intègre une puce Bluetooth, gérée par un logiciel fourni par une autre start-up française, Ubudu, qui a annoncé sa collaboration avec New School depuis 2016. Sur son site, Ubudu se décrit ainsi : « Ubudu est la solution RTLS de prochaine génération, qui piste, analyse et détecte biens et personnes sur des lieux industriels ou de services : aéroports, usines, hôpitaux, magasins, centres sportifs ou de loisir, etc. Ubudu fonctionne uniquement avec des petits tags ou smartphones échangeant des signaux radio avec des capteurs fixes, et un serveur de localisation qui calcule et traite la position »3. Dans sa documentation technique, Ubudu décrit un de ces tags, le tag BLE (Bluetooth Low Energy) : « utilisez des tags BLE si vous avez de nombreux biens à pister et n'avez pas besoin d'une précision en deçà de 1-2m. [...] Des exemples de mise en ?uvre comprennent la solution de service en salle de McDonalds ou le badge étudiant New School (voir photo). Vous pouvez aussi utiliser des équipements iBeacon standards, dont nous recommandons ceux de haute qualité, tels que ceux de EM Microelectronics »4. Parmi les puces EM Microelectronics auxquelles renvoient Ubudu se trouve la puce EMBC01. La fiche technique de cette puce indique qu'elle peut signaler sa présence (en émettant un message radio) une fois par seconde, et qu'elle a alors une portée de 75 mètres et une durée de vie de 12,5 mois. Nous pensons que cette puce (recommandée par Ubudu, partenaire de New School), ou une puce similaire, est celle intégrée dans le porte-clef New School. En effet, la documentation commerciale de New School indique que « la durée de vie de nos porte-clés connectés est dâ€'environ 13 mois », ce qui correspond à la durée de 12,5 mois de la puce EMBC01. De même, après prise de contact avec New School, NextInpact explique que, « à en croire ses développeurs, cette clef [...] dispose dâ€'une portée de 15 à 25 mètres en intérieur, et même 75 mètres à lâ€'extérieur » - la même portée que la puce EMBC01. Enfin, la puce qui apparait sur plusieurs photo du porte-clef New School (ici, en bas, une photo de 2016 tirée de l'article de Qwant en soutien à la start-up) est identique à l'image de la puce EMBC01 diffusée par EM Microelectronics dans sa documentation (ici, en haut). Le porte-clef New School émet donc constamment, une fois par seconde et pendant 13 mois, un identifiant unique, propre à chaque porte-clef et, ainsi, à chaque enfant. Cet identifiant peut être capté par les smartphones situés dans un rayon de plusieurs dizaines de mètres. Dans son règlement intérieur, l'établissement Rocroy explique que le port constant du porte-clef par les enfants permettra « de sâ€'assurer de la présence de chacun dâ€'eux en classe, sur les installations sportives, au CDI et lors des sorties mais aussi au cours des exercices de sécurité ». Comme le détaille New School dans sa documentation, les professeurs et encadrants, munis de smartphone, pourront recevoir l'identifiant unique émis par chaque porte-clef et, ainsi, contrôler la présence des porte-clefs environnants (et, par là, en théorie, de chaque enfant dont le nom et la photo sont associés à chaque identifiant Bluetooth dans la base de données New School). Charlemagne/EcoleDirecte Dans sa documentation, New School explique que « tous les outils édités par NewSchool sont conçus avec un souci permanent de protéger les données : [...] chacun accède uniquement aux données auxquelles le chef d'établissement lui donne accès, le niveau de sécurité des mots de passe est celui dépendant du logiciel Charlemagne/EcoleDirecte ». Charlemagne/EcoleDirecte est un logiciel de suivi de scolarité développé par l'entreprise française STATIM. Cette entreprise fournit en ligne la documentation du logiciel. On y découvre les fonctionnements d'une sécurité d'un autre âge... Pour la création d'un nouveau profil, c'est l'administrateur qui choisit lui-même le mot de passe pour chaque utilisateur. Pour qu'un utilisateur récupère son mot de passe, celui-ci lui est alors envoyé en clair par email. Si le mot de passe peut lui être envoyé de la sorte, c'est forcément qu'il est conservé en clair sur le serveur, sans être protégé d'aucune façon contre des attaques... contrairement aux recommandations élémentaires de la CNIL5. Faire reposer l'identification de données de localisation d'enfants sur un système aussi peu sécurisé, initialement développé pour un usage très différent, est impensable. C'est pourtant ce qu'explique faire New School. De fausses affirmations Dans un communiqué réagissant à la polémique naissante, l'établissement Rocroy explique, tentant d'être rassurant, que « le bluetooth ne sâ€'active que lorsque lâ€'enseignant fait lâ€'appel. Le reste du temps, les porte-clés s?éteignent automatiquement ». Cette affirmation rend absurde la durée de vie de 13 mois du porte-clef annoncée par New School dans la documentation. Au regard de l'état de l'art des puces Bluetooth (tel qu'il en ressort des caractéristiques de la puce EMBC01), une puce qui serait activée une poignée de minutes seulement par jour (le temps de faire l'appel) aurait une durée de vie de plusieurs années et n'aurait pas besoin d'être renouvelée tous les 13 mois. Ce renouvellement de la puce aurait pu être justifié par le passage d'une année à l'autre par chaque enfant, mais le délai de renouvellement aurait alors été de 12 mois et non de 13. Le renouvellement de la puce n'est donc justifiable que par une seule raison : la puce est activée de façon constante, 24h/24, même en dehors des 8 heures de classe quotidiennes (sans quoi la durée de vie annoncée serait triple, de l'ordre de 39 mois). Par ailleurs, l'idée que la puce n'émette qu'au moment de l'appel est inconciliable avec la détection des enfants en CDI (en bibliothèque) : ce lieu pouvant être accédé n'importe quand, il n'y a pas d'appel à y faire à un instant déterminé. La puce doit émettre régulièrement pour signaler une présence au du CDI. L'affirmation de l'établissement Rocroy semble donc fausse. Les conséquences seraient lourdes. Certes, l'identifiant unique émis par le porte-clef n'indique pas directement le nom d'un élève. Mais qu'importe : activé en permanence, il permettrait de suivre à la trace chaque enfant de façon individualisée (l'identifiant étant unique), au simple moyen d'un smartphone (EM Microelectronics fournit même une application à cette fin), n'importe où, même en dehors de l'école, pour peu qu'on se trouve dans un rayon de 75 mètres de l'enfant. Si l'établissement ne fournit pas d'informations nouvelles permettant de contredire cette hypothèse, nous viendrons la vérifier en pratique à la rentrée devant son lycée, qui n'est pas très loin de nos locaux. Par ailleurs, dans son communiqué de presse, l'établissement prétend que le porte-clef « nâ€'utilise pas la géolocalisation, et ne permet donc pas de connaitre la position ou les déplacements des élèves ». Ce n'est pas ce que révèle la fiche de l'application New School qui sera utilisée sur smartphone par le personnel de l'établissement afin de détecter les porte-clefs à proximité. Au moment de son installation, l'application demande de pouvoir transmettre à New School la géolocalisation précise du smartphone, notamment par GPS. Or, la géolocalisation du smartphone permettra aussi de géolocaliser les portes-clefs détectés qui, par définition, seront situés dans une proximité directe. L'affirmation de l'établissement est donc fausse : le porte-clef permettra d'indiquer à New School la position des enfants dès lors qu'ils se trouveront à proximité d'un smartphone utilisant l'application New School. Enfin, dans son communiqué, l'établissement a cru bon de prétendre que « les données personnelles (nom de l?élève, emploi du temps) sont protégées et cryptées, en accord avec la CNIL ». Or, comme on l'a vu, le système Charlemagne/EcoleDirecte sur lequel repose New School ne satisfait aucune des recommandations de la CNIL élémentaires en matière de sécurité. Ainsi, contactée par Le Point sur cette affaire, la CNIL a déclaré mardi dernier « ne pas avoir eu d'échange avec le lycée Rocroy sur le dispositif ». Un système illégal Le port obligatoire du porte-clef New School par chaque enfant semble illicite du simple fait que l'information fournie par l'établissement sur l'interruption automatique du porte-clef serait fausse, alors que le règlement général sur la protection des données (RGPD) exige une information loyale. De plus, quand bien même cette information serait juste (si le porte-clef n'émettait pas constamment), le système serait illicite pour d'autres raisons. D'abord, le RGPD exige que tout traitement de données personnelles soit fondé sur une base légale : le consentement, la nécessité de fournir un service public ou la nécessité de poursuivre un « intérêt légitime ». Ici, les enfants ne peuvent donner aucun consentement valide au traçage : ils n'ont pas le choix de l'accepter pour aller en cours et ne peuvent l'accepter qu'en même temps qu'ils acceptent l'ensemble du règlement intérieur. Leur consentement, qui ne serait ni libre ni spécifique, ne serait jamais reconnu comme valide par la CNIL (au sujet du caractère libre du consentement, voir l'analyse détaillée développée dans nos plaintes collectives contre les GAFAM). S'agissant de la nécessité de fournir un service public ou de poursuivre un intérêt légitime (tel que faire l'appel des élèves), il faut d'abord démontrer que le système est « nécessaire ». En droit, ceci implique notamment qu'il n'existe aucun autre système alternatif qui, atteignant les mêmes objectifs, cause des risques moins élevés en matière d'atteinte aux libertés fondamentales. Ici, l'appel des enfants à l'oral remplit les mêmes objectifs sans poser de risque pour la vie privée. Le fait que le traçage par localisation automatique des enfants simplifie l'appel des élèves ne saurait le rendre « nécessaire », surtout au regard des risques importants qu'il cause quant à la traçabilité constante de la position de chaque enfant. Toutefois, ce débat sur la « nécessité » a déjà été tranché par le groupe de l'article 29 (G29, l'institution qui réunissait les CNIL des 28 États membres de l'Union européenne et qui est devenu le Comité européen de la protection des données depuis le 25 mai 2018). Depuis 2011, le G29 considère que, dans les cas où des personnes pourraient être localisées au moyen de signaux émis par un dispositif qu'elles transportent, et dans le cas où cela serait possible non pas sur la base de leur consentement mais sur celui d'un « intérêt légitime », il faut systématiquement que ces personnes puissent librement et facilement s'opposer à un tel traçage, à tout moment. Dans notre cas, à l'inverse, l'établissement Rocroy sanctionne les enfants qui s'opposerait au pistage en refusant de porter le porte-clef. L'obligation de le porter est donc illicite de ce seul fait. Par ailleurs, peu importe la base légale du traitement de données personnelles, le RGPD exige que celui-ci soit accompagné d'un certain nombre d'informations. Le responsable de traitement doit indiquer : son identité et ses coordonnées ; les finalités poursuivies ; l?étendue des droits de la personne concernée ; si les données sont transmises à des tiers, l'identité de ces destinataires ou la catégorie de ces destinataires ; la condition de licéité remplie par le traitement ? en précisant, selon le cas, l'intérêt légitime défendu ou la possibilité de retiré le consentement donné ; la durée de conservation des données ; l'existence d'un transfert de données en dehors de lâ€'Union, en précisant les garanties encadrant ce transfert ; lâ€'existence d'une prise de décision automatisé. Dans notre cas, l'établissement n'a fourni aucune de ces informations, si ce n'est, éventuellement, certaines des finalités envisagées (s'agissant des élèves, « sâ€'assurer de la présence de chacun dâ€'eux en classe, sur les installations sportives, au CDI et lors des sorties mais aussi au cours des exercices de sécurité »), sans qu'on ne sache toutefois si ces finalités sont exhaustives. Les autres informations sont simplement absentes, rendant le système illicite de ce seul fait. Enfin, comme vu plus haut, les obligations de sécurité imposées par le RGPD ne sont pas respectées puisque le système New School repose sur le système complètement obsolète de Charlemagne/EcoleDirecte. Et maintenant ? Nous invitons les élèves et parents d'élèves de l'établissement Rocroy à se saisir des éléments développés ici pour saisir la justice en référé afin de faire changer le règlement intérieur avant la rentrée. De façon plus générale, nous appelons la CNIL à enquêter sur la start-up New School avant que celle-ci ne démarche d'autres établissements. La situation est des plus inquiétante puisque, dès 2016, d'après Le Figaro Madame, « le cabinet de Valérie Pécresse lui fait savoir qu'ils aimeraient utiliser l'application pour toute la région Île-de-France ». Politiquement, le cas de New School révèle un mouvement plus profond et plus grave : les puces choisies par New School ont initialement été pensées et sont normalement utilisées pour localiser des objets fixes (des murs) ou mobiles (des marchandises) afin qu'un humain muni d'un smartphone puisse se repérer parmi ces objets. Cette situation s'inverse ici : la puce n'est plus attachée à des objets mais à des enfants ; le smartphone ne sert plus à se repérer dans l'espace mais, immobile au poste du surveillant, à définir l'espace dans lequel les humains peuvent évoluer. L'humain ne se déplace plus parmi les choses : il est une chose comprise par d'autres. 1. En janvier dernier, La Tribune explique, au sujet de la créatrice de New School, après que celle-ci a remporté un prix pour jeune startupeux : Quelques mois plus tard, Apple entre en contact avec elle et lui demande de pitcher deux jours plus tard dans ses bureaux londoniens. « J'étais déjà sur place, à croire qu'ils m'avaient tracée... » Dans le développement de NewSchool, la marque à la pomme a joué un rôle important, notamment dans la conception de l'application mais aussi dans la commercialisation : « Le marché de l'éducation en France est assez impénétrable, nous avons échangé beaucoup d'informations ». [...] Le coaching by Apple est toujours d'actualité. La jeune entrepreneure participe à de nombreux événements et voit régulièrement des développeurs, français et anglais, pour avancer sur l'application. Elle a même eu le privilège de rencontrer Tim Cook, en février dernier. Au tout début, il était question de faire de NewSchool une application préintégrée sur les appareils vendus aux établissements scolaires, mais « à l'époque nous n'étions pas assez développés, ni commercialement ni au niveau des fonctionnalités. Il nous faut encore grandir pour espérer un jour avoir une application commune », explique-t-elle. Et le travail en famille est toujours valable. « Ma mère est directrice commerciale, elle travaille beaucoup. Nous avons fait le salon de l'éducation la semaine dernière, c'est elle qui a tout géré », s'enthousiasme la jeune femme. 2. Qwant semble avoir dé-publié son article en soutien à New School, mais nous en avions fait une copie. 3. Notre traduction de « Ubudu is a next-generation RTLS solution, which tracks, analyses and detects assets and people in industrial or service sites: airports, factories, hospitals, retail, sport & leisure venues, etc. Ubudu simply works with small tags or smartphones exchanging radio-signals with fixed sensors, and a location server that computes and processes the position. » 4. Notre traduction de « Use BLE Tags if you have many assets to track and do not need accuracy below 1-2m. (...) Examples of realizations include McDonaldâ€'s table service solution and New School student tokens (include pictures). You can also go with standard iBeacon devices, for which we recommend those of high quality, such as EM Microelectronics ». 5. De bon sens, la CNIL exige que « le mot de passe ne doit pas être communiqué à l'utilisateur en clair par courrier électronique » et que « le mot de passe ne doit jamais être stocké en clair ».

Le 2018-07-30


  La-Quadrature - Conservation généralisée de données : débat transmis au niveau européen !
26 juillet 2018 - Après trois ans de procédure, le Conseil d'État vient (enfin !) d'accepter de saisir la Cour de Justice de l'Union européenne, tel que nous le demandions. Le régime français de conservation généralisée des données de connexion imposé aux opérateurs téléphoniques et Internet ainsi qu'aux hébergeurs est-il conforme au droit de l'Union européenne ? La décision d'aujourd'hui est une avancée importante dans le combat juridictionnel porté par La Quadrature du Net, la Fédération FDN et FDN contre la surveillance de masse. Il faut toutefois dénoncer le délai démesuré pris par le Conseil d'État pour franchir cette étape. Le Conseil d'État est resté muet durant plusieurs années, retenant sa justice malgré plusieurs relances de notre part. Il ne s'est prononcé qu'au moment où le Gouvernement français, embourbé dans des débats politiques autour du règlement ePrivacy, a trouvé opportun de s'aligner sur nos propres demandes - saisir la Cour de justice de l'Union. Revoir notre récit des procédures ayant conduit à la décision d'aujourd'hui. Cet alignement du calendrier de la Justice sur le calendrier stratégique du gouvernement remettrait en cause l'idéal d'indépendance qui doit animer la Justice. Heureusement, le débat se poursuit aujourd'hui devant une juridiction européenne qui, à plusieurs reprises ces dernières années, a su garder ses distances avec les volontés autoritaires des gouvernements occidentaux. La CJUE s'est opposée à la directive de 2006 qui prévoyait une conservation généralisée des données de connexion, dans son arrêt Digital Rights Ireland. Elle a aussi invalidé le Safe Harbor au regard du régime de surveillance des États Unis, dans son arrêt Schrems. Dernièrement, elle s'est opposée aux régimes de conservation généralisée suédois et britannique, dans son arrêt Tele2. Le gouvernement français espère pouvoir faire changer d'avis la Cour de justice de l'Union européenne. Ne prenons pas l'ambition du gouvernement à la légère : le combat qui s'ouvre déterminera le cadre de la surveillance européenne. Le gouvernement ne chômera pas pour défendre l'idéal d'un monde dans lequel chacun serait suspect. Nous ne chômerons pas nous plus pour défendre notre autre monde. Les questions La première question transmise par le Conseil d'État est la suivante : « L'obligation de conservation généralisée et indifférenciée, imposée aux fournisseurs sur le fondement des dispositions permissives de l'article 15, paragraphe 1, de la directive du 12 juillet 2002, ne doit-elle pas être regardée, notamment eu égard aux garanties et contrôles dont sont assortis ensuite le recueil et l'utilisation de ces données de connexion, comme une ingérence justifiée par le droit à la sûreté garanti à l'article 6 de la Charte des droits fondamentaux de l'Union européenne et les exigences de la sécurité nationale, dont la responsabilité incombe aux seuls Etats-membres en vertu de l'article 4 du traité sur l'Union européenne ? » Par là, le Conseil demande si, alors que le Cour de justice a déjà reconnu la conservation généralisée injustifiée pour lutter contre les infractions (dans sa décision Tele2), cette conservation peut être justifiée pour protéger la sécurité nationale. Pour rappel : en droit européen, la lutte contre le terrorisme n'est pas de l'ordre de la protection de la sécurité nationale - qui, selon la CNCIS, ne fondait en 2015 que 12% des interceptions réalisées par les services de renseignement. Le Conseil d'État demande donc si, pour 12% des besoins des services de renseignement (en matière militaire et de contre-espionnage, on imagine), il peut être porté atteinte à la vie privée de toute la population, considérée comme suspecte par défaut. Une telle question nous semble disproportionnée par elle-même, mais elle ouvre un débat plus large dont il faudra se saisir devant la Cour de justice. Par ailleurs, le Conseil d'État a transmis une ou plusieurs autres questions, dont nous n'avons pas encore connaissance : nous mettrons cet article à jour au fur et à mesure.

Le 2018-07-26


  La-Quadrature - La Fédération FDN soutient l'amendement Chaize qui encourage les offres activées sur les réseaux fibre optique
23 juillet 2018 - Nous republions ici le communiqué publié ce matin par la Fédération FDN, qui promeut l'accès aux offres activées sur les réseaux fibre optique. L'accès « activé » à un réseau fibré consiste, pour un opérateur télécoms, à louer des fibres optiques déjà « activées » par un autre opérateur, qui gère et entretient les équipements de distribution du réseau. Pour un petit opérateur, ce type d'accès activé est le seul moyen de fournir à ses abonnés un accès fibré à Internet dans les zones géographiques où il ne peut pas déployer d'équipements. En effet, un opérateur de petite taille a généralement des abonnés dispersés sur tout le territoire : il n'est pas économiquement viable de déployer ses propres équipements dans chaque zone géographique pour seulement quelques abonnés localement. Ce communiqué intervient dans le cadre du projet de loi portant « évolution du logement, de l'aménagement et du numérique » (loi ELAN), actuellement en débat au Sénat, jusqu'à demain : La Fédération FDN soutient l'amendement Chaize qui encourage les offres activées sur les réseaux fibre optique La Fédération FDN soutient l'amendement à la loi Elan porté par M. Patrick Chaize, président de l'AVICCA et vice-président de la commission Aménagement du Territoire et Developpement Durable du Sénat. Cet amendement ouvre, sur tout le territoire national, le droit d'accéder à une offre activée raisonnable et non discriminatoire, et constitue à ce titre une belle opportunité de progression vers un marché des télécoms plus ouvert et plus innovant. En effet, ces offres activées garantissent une concurrence saine sur le marché des télécoms en permettant à de petits acteurs, tels que les FAI de la Fédération FDN, d'y exister de manière durable en accédant à la boucle locale fibre optique. Les petits opérateurs sont nécessaires à l'équilibre du marché des télécoms : ils peuvent faire émerger des offres de services différenciées, répondant aux besoins spécifiques des utilisateurs finals1. Ils entretiennent ainsi la vitalité du marché, qui menace toujours de se refermer sur quelques gros acteurs. Les membres de la Fédération FDN, capables de s'adapter aux particularités de chaque territoire et aux demandes de leurs adhérents, sont également des acteurs indispensables d'un accès au numérique inclusif, où les zones les moins rentables et les besoins les plus spécifiques ne sont pas oubliés. « L'émergence d'une offre activée pertinente sur tout le territoire est la garantie de la pérénnité de notre travail », ajoute Oriane Piquer-Louis, présidente de la Fédération FDN. Il ne s'agit pas de remettre en cause l'équilibre du marché, ni de pénaliser les acteurs qui ont pris le risque financier d'investir. L'intérêt des offres activées est de garantir les conditions d'un marché capable de répondre aux demandes de chacun, et ouvert vers l'innovation. Nous appelons donc au maintien de l'article 64ter porté par M. Patrick Chaize dans la loi Elan, et au rejet de l'amendement de suppression porté par le gouvernement. À propos de la Fédération FDN La fédération FDN regroupe des Fournisseurs d'Accès à Internet associatifs se reconnaissant dans des valeurs communes : bénévolat, solidarité, fonctionnement démocratique et à but non lucratif; défense et promotion de la neutralité du Net. A ce titre, la fédération FDN se donne comme mission de porter la voix de ses membres dans les débats concernant la liberté d'expression et la neutralité du Net. Elle fournit à ses membres les outils pour se développer et répondre aux problèmes rencontrés dans le cadre de l'activité de fournisseur d'accès à Internet. 1. L'emploi du pluriel régulier «&nbps;finals&nbps;» au lieu du pluriel habituel «&nbps;finaux&nbps;» est l'usage courant en matière de télécoms.

Le 2018-07-23


  La-Quadrature - Teemo, Fidzup : la CNIL interdit la géolocalisation sauvage - l'UE pense à la légaliser
20 juillet 2018 - Hier, la CNIL a déclaré illicites les activités de deux start-ups françaises, Teemo et Fidzup, qui géolocalisent des millions de personnes à des fins publicitaires et sans leur consentement. Elles ont trois mois pour cesser ces activités. Hélas, sur le long terme, leur modèle pourrait devenir licite : c'est en tout cas ce sur quoi l'Union européenne débat via un futur règlement ePrivacy. Teemo Teemo est l'emblème des start-ups qui n'existent pas pour durer, mais pour amasser un maximum de profits par une activité qui, depuis le début, est illicite. En mode « take the money and run ». Employant 35 salariés pour un chiffre d'affaires de 2,6 millions (en 2016), Teemo ne pourra pas survivre à la décision rendue hier par la CNIL. Teemo analyse les données de géolocalisation de 14 millions de téléphones, obtenues via les applications mobiles de ses partenaires commerciaux, afin de faire de la publicité ciblée localement. Évidemment, les personnes surveillées ne sont pas informées de ce pistage et n'ont pas leur mot à dire. La CNIL exige aujourd'hui le consentement de ces personnes - ce que la loi « informatique et libertés » impose sans ambiguïté. Teemo peut donc fermer boutique, puisque son chiffre d'affaires repose désormais sur l'espoir absurde que des utilisateurs renoncent à leur vie privée, sans contrepartie, mais simplement pour enrichir la start-up. Bien. Mais que dire de ses nombreux partenaires qui ont financé et bénéficié de ce système de surveillance généralisée ? Sur le site de Teemo, on peut lire les témoignages de LeaderPrice, ToysRus, InterSport ou Volkswagen se réjouissant qu'une telle violation massive de nos libertés ait pu faciliter leurs activités publicitaires. Plus loin, parmi les entreprises qui ont « fait confiance » à Teemo (sans avoir consulté aucun juriste, on imagine), on retrouve encore Carrefour, Macdo, Decathlon ou la Fnac. Par ailleurs, il y a un an, Numérama publiait une enquête sur Teemo qui, probablement, a conduit la CNIL à se saisir de l'affaire. L'enquête expliquait que Teemo s'était notamment infiltrée sur les applications mobiles du Figaro, du Parisien, de l'Équipe ou de Closer, avec l'accord de ceux-ci. Depuis, Exodus Privacy a décrit précisément le fonctionnement de Teemo et les applications l'intégrant. Aujourd'hui, l'ensemble de ces entreprises nous doivent de sérieuses explications : comment ont-elles pu se permettre de financer et d'autoriser une violation aussi manifeste de la loi au détriment des libertés fondamentales de leurs clients ? Leur responsabilité juridique et politique est en jeu. Fidzup Le cas de Fidzup est plus complexe. La start-up, plus petite (24 salariés, 500 000? de chiffre d'affaires), opère en deux étapes. Dans une première étape, elle installe des bouts de code sur les applications mobiles de ses partenaires commerciaux. La CNIL décompte neuf applications différentes, qui lui auraient permis d'infiltrer 6 millions de téléphones. Ces bouts de code permettent à Fidzup de collecter certaines données techniques sur les téléphones espionnés. Dans une seconde étape, Fidzup fournit à une centaine de magasins des boîtiers qui identifient les téléphones qui passent à proximité, à partir des données techniques collectées dans la première étape. Les magasins peuvent donc tracer leurs clients, tant en ligne que hors-ligne. Cette seconde étape est particulièrement pernicieuse. Techniquement, nos téléphones émettent régulièrement des données techniques afin de se connecter aux bornes WiFi environnantes. Les boîtiers fournis par Fidzup interceptent ces données techniques pour identifier les téléphones, alors même qu'ils ne sont pas du tout des bornes WiFi. Exodus Privacy décrit en détail le fonctionnement et les applications mobiles collaborant avec Fidzup. Heureusement, en droit, cette technique d'interception est explicitement interdite. La directive 2002/58 de l'Union européenne, dite « ePrivacy », prévoit depuis 2002 à son article 5 qu'il est interdit « à toute autre personne que les utilisateurs d'écouter, d'intercepter, de stocker les communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre moyen d'interception ou de surveillance, sans le consentement des utilisateurs concernés ». Les données captées par Fidzup sont ici des « données relatives au trafic », car destinées à réaliser une connexion avec une borne WiFi. Reprenant assez facilement cette logique, la CNIL a exigé que Fidzup demande le consentement préalable des personnes avant de collecter ces données - ce qui n'était pas le cas. On pourrait ici donner la même conclusion que pour Teemo : aucun utilisateur n'acceptera de céder sa vie privée, sans contrepartie, pour enrichir Fidzup. L'avenir de la start-up semblerait donc aussi compromis. Hélas, la situation est plus inquiétante. ePrivacy La directive ePrivacy, qui interdit aujourd'hui l'activité de Fidzup, est en cours de révision par l'Union européenne. Il y a un an, le Parlement européen arrêtait sa position sur le texte (relire notre bilan sur ce débat). À l'article 8, §2, du nouveau texte, le Parlement a autorisé la collecte sans consentement des « informations émises par les terminaux des utilisateurs » - abandonnant ainsi une protection fondamentale qui nous est aujourd'hui offerte. Le Parlement autorise cette surveillance en imposant une poignée de conditions aussi vagues que creuses : l'analyse doit être limitée à des fins de « comptage statistique » (c'est déjà le service que fournit Fidzup), les données doivent être anonymisées dès que la finalité est remplie (dès que Fidzup a fini de nous compter), les utilisateurs disposent d'un droit d'opposition (qui leur est indiqué par une affiche plus ou moins visible dans le magasin surveillé - ce que fait déjà Fidzup). Aujourd'hui, la réforme de la directive ePrivacy est débattue entre les États membres de l'Union. Peu d'États membres semblent vouloir contrer les dérives du Parlement en matière de géolocalisation. D'une main, l'Union européenne prétend nous offrir une protection importante avec le règlement général sur la protection des données (RGPD). D'une autre main, elle réduit la protection de nos libertés afin de sauver quelques start-ups illicites et néfastes (inutiles). Si les débats sur le règlement ePrivacy se confirmaient comme allant dans ce sens, il faudra s'opposer à toute idée de réformer le droit actuel - qui, couplé au RGPD, nous protège encore aujourd'hui des volontés de surveillance de sociétés telles que Teemo ou Fidzup et de leurs partenaires.

Le 2018-07-20


  La-Quadrature - Tor est pour tout le monde
Tribune de Lunar, membre de La Quadrature du Net Il y a quelques mois, Nos oignons, une association qui participe au réseau Tor, a une nouvelle fois été contactée par un·e journaliste qui souhaitait « expliquer aux lecteurs comment on va dans le web profond (via Tor) et quel intérêt il y aurait à y aller, en oubliant tous les sites ?dark? de type ventes dâ€'armes ». Mais après quelques échanges, le sujet semble finalement difficile à vendre à la direction : « À ce stade nous manquons franchement dâ€'arguments, au point que je me demande si lâ€'article va finalement sortir. » À notre connaissance lâ€'article nâ€'est finalement jamais sorti. Ce manque d?« arguments » nous semble provenir dâ€'une erreur fondamentale de compréhension : lâ€'usage de Tor (ou des sites .onion) nâ€'est pas différent de lâ€'usage du web et dâ€'Internet en général. Si Internet est pour tout le monde, Tor lâ€'est tout autant. Sur Internet, on lit la presse. Pourtant, lâ€'expérience est différente de celle de lire de la presse sur papier. Une personne qui attrape la dernière édition dâ€'un quotidien sur le comptoir dâ€'un café nâ€'informe pas l?équipe du journal quâ€'elle vient de gagner en audience. Elle ne les prévient pas non plus être dans un café, ni du nom du café, ni de quelles pages elle a lu, ni de combien de temps elle a pu passer sur chacun des articles? Or, si cette même personne se rend sur le site web du journal, alors il pourra au moins connaître la connexion utilisée, quelles pages ont été lues et pendant combien de temps. Mais ces informations ne sont pas uniquement accessibles au journal : la régie publicitaire en apprendra autant, tout comme Google qui fournit les polices de caractères, Facebook avec son bouton «? Like », Twitter pour son bouton « Tweet », pour ne citer que les plus courants. Alors soyons clair : quâ€'il soit en papier ou en ligne, quand on lit un journal, on ne sâ€'attend pas à ce quâ€'il nous lise en retour? Lorsquâ€'on remplace Firefox ou Chrome par le navigateur Tor, on rend beaucoup plus difficile cette collecte dâ€'information contre notre gré. On retrouve un Internet conforme à nos attentes. Voir Tor principalement comme un outil pour lâ€'anonymat ou le contournement de la censure, câ€'est penser son usage comme nécessairement marginal. Alors quâ€'au contraire, Tor constitue un pas vers un Internet davantage conforme aux intuitions les plus courantes sur son fonctionnement. Le temps où Internet était réservé aux personnes ayant un bagage en science informatique est terminé. La plupart des internautes ne peuvent pas faire un choix informé sur les données et les traces enregistrées et partagées par les ordinateurs impliqués dans leur communications. Même les personnes qui développent des applications ont parfois bien du mal à mesurer l?étendue des données que fuitent les outils quâ€'elles conçoivent ! Utiliser le navigateur Tor permet justement de limiter les informations que nous communiquons à des tiers sans en avoir explicitement lâ€'intention. Maîtriser les informations que nous partageons lors de nos communications ne devrait pas être réservé à une élite. Voilà pourquoi Tor se destine au plus grand nombre. Nos oignons contribue modestement au fonctionnement du réseau Tor en faisant fonctionner des relais en France. Lâ€'association démarre aujourdâ€'hui une nouvelle campagne de financement afin de récolter les 12?000?? nécessaires pour fonctionner une année supplémentaire. La Quadrature du Net, qui veille à ce que l'usage de tels outils reste autorisé en France et en Europe, relaye donc cet appel. Soutenons Nos Oignons, ainsi que le projet Tor qui développe les logiciels. Fichier attachéTaille twitter-instream-campagne-2018_nosoignons.png192.88 Ko

Le 2018-07-18


  La-Quadrature - Demain, la surveillance française devant le Conseil d'État !
10 juillet 2018 - Demain à 14h se tiendront au Conseil d'État deux audiences décisives sur la loi renseignement et sur le régime de conservation généralisée des données de connexion. Ces deux contentieux ont été engagés il y a bientôt trois ans par La Quadrature du net, FDN et FFDN avec le soutien des Exégètes amateurs. Ces affaires pourraient bien connaître la conclusion espérée. Venez avec nous assister à l'audience ! Avant de voir l'enjeu précis de l'audience de demain, revenons sur ces trois riches années de procédure, déjà cousues de quelques belles victoires et des centaines de pages écrites par les Exégètes amateurs contre une dizaine de textes différents. À l'attaque de la loi renseignement Il y a trois ans, le 24 juillet 2015, la loi renseignement était publiée. Elle venait d'être examinée une première fois par le Conseil constitutionnel, devant qui nous avions produit de nombreux arguments - en partie suivis par le Conseil pour, déjà, censurer certaines parties de la loi. Voir l'amicus curiae que nous produisions contre la loi devant le Conseil constitutionnel Deux mois après, une série de décrets étaient adoptés pour appliquer cette loi : ces décrets nous offraient l'opportunité, en les attaquant devant le Conseil d'État, de contester la loi dans son ensemble. C'est donc deux mois plus tard que, le 30 novembre 2015, La Quadrature du Net, FDN et FFDN déposaient leur « requête introductive », qui conduira à l'audience de demain. Voir l'ensemble des écritures produites dans cette affaire sur le site des Exégètes amateurs Quatre mois après, le 6 mai 2016, nous soulevions une question prioritaire de constitutionnalité (QPC) : nous invitions le Conseil d'État à demander au Conseil constitutionnel si la loi renseignement violait la Constitution lorsqu'elle prévoyait un régime de surveillance généralisée des communications « empruntant la voie hertzienne » (ce qui veut à peu près tout dire). Six mois plus tard, le 21 octobre 2016, nous gagnions cette manche : cette partie de la loi était censurée ! Voir la décision du Conseil constitutionnel censurant la surveillance hertzienne Toutefois, nous avions formulé bien d'autres arguments contre la loi renseignement. Le Conseil d'État, devant qui le reste de l'affaire était revenue, devait encore les examiner. Pendant un an et huit mois, nous sommes restés sans nouvelles du Conseil d'État et pensions qu'il avait oublié l'affaire... Il y a douze jours, après quasiment deux années de silence, le Premier ministre et le ministère de l'intérieur ont subitement envoyé des arguments pour défendre la loi. Cinq jours plus tard, sans crier gare, le Conseil d'État a fixé une date d'audience (demain), qui marquera la fin des débats. Il ne nous laissait ainsi qu'une poignée de jours pour contre-attaquer. Voir notre dernier mémoire en réplique déposé ce matin par Patrice Spinosi, l'avocat qui nous représente devant le Conseil d'État dans cette affaire Un problème de conservation généralisée La loi renseignement n'est pas ici le seul problème. Elle s'ajoute à un régime distinct qui, en France et depuis sept ans, impose aux opérateurs téléphonique et Internet, ainsi qu'aux hébergeurs de contenus en ligne, de conserver pendant un an des « données de connexion » sur l'ensemble des utilisateurs (qui parle à qui, d'où, avec quelle adresse IP, etc.). Les services de renseignement peuvent ainsi accéder, pendant un an, aux données concernant toute la population. Il nous fallait aussi, en parallèle, attaquer cette conservation généralisée. Il y a quatre ans, en avril 2014, la Cour de justice de l'Union européenne rendait une décision capitale dans l'affaire « Digital Right Ireland ». Elle annulait une directive européenne qui, depuis 2006, imposait un même régime de conservation généralisée dans toute l'Union. Pour la Cour, la Charte des droits fondamentaux de l'Union européenne s'opposait à une telle surveillance qui, par définition, considère comme suspecte l'ensemble de la population. Voir la décision du 4 avril 2014 de la Cour de justice Il y a trois ans, le 1er septembre 2015, La Quadrature du Net, FDN et FFDN saisissaient cette occasion pour contester le régime de conservation généralisée en droit français devant le Conseil d'État, dans une affaire en parallèle à celle contre la loi renseignement. Voir l'ensemble des écritures produites dans cette affaire sur le site des Exégètes amateurs Dix mois plus tard, en juin 2016, le ministère de la justice envoyait ses arguments pour défendre la conservation généralisée. Ici encore, le gouvernement restera ensuite muet pendant deux ans.... Toutefois, entre-temps, il y a dix-huit mois, le 21 décembre 2016, la Cour de justice rendait une autre décision déterminante dans l'affaire « Tele2 Sverige ». Interrogée par des juges suédois et anglais, elle avait reconnu que les lois de ces deux pays, qui prévoyaient une conservation généralisée des données de connexion, violaient elles-aussi la Charte de l'Union. Voir l'article des Exégètes amateurs analysant l'arrêt Tele2 C'est exactement la solution que nous recherchions depuis le début : nous demandons au Conseil d'État, à l'instar des juges suédois et anglais, d'interroger la Cour de justice de l'Union européenne sur la validité de notre régime. En effet, depuis dix-huit mois, le droit français viole le droit de l'Union en refusant d'abroger son régime de conservation généralisée, ce que la Cour de justice impose pourtant de façon évidente. Lire la tribune des Exégètes amateurs publiée sur Libération Il y a vingt jours, le Premier ministre sortait enfin de son silence de deux ans pour défendre la loi française. Comme pour l'affaire sur la loi renseignement, le Conseil d'État a fixé l'audience pour demain. Voir notre dernier mémoire en réplique déposé aujourd'hui Demain, c'est donc la voie pour mettre fin à l'incohérence du droit français qui, enfin, semble s'ouvrir. Le débat passe au niveau européen Il y a quinze jours, nous lancions une campagne européenne pour pousser la Commission européenne à agir contre les dix-sept États membres de l'Union européenne qui, comme la France, violent le droit de l'Union en maintenant un régime de conservation généralisée des données de connexion. Dans le même temps, depuis un an, les gouvernements européens - dont le gouvernement français - tentent difficilement de modifier le droit européen pour contourner la jurisprudence de la Cour de justice. C'est notamment ce à quoi La Quadrature du Net s'oppose dans les débat sur le règlement ePrivacy. Face à ces nombreuses et vives difficultés, il semble que le gouvernement français, dos au mur, renonce enfin à fuir le débat. Après deux années de silence, dans ses toutes dernières écritures, le Premier ministre a admis que, dans les deux procédures que nous avons engagées devant le Conseil d'État, il serait utile d'interroger la Cour de justice sur la validité de la conservation généralisée française. Sans doute espère-t-il convaincre la Cour de revenir sur ses décisions passées, pour les contredire : nous acceptons ce débat car, de notre côté, nous espérons convaincre la Cour d'éloigner encore plus fermement la surveillance de masse ! Ce matin, le rapporteur public du Conseil d'État (chargé d'assister ce dernier dans la prise de ses décisions) a indiqué que, lors de l'audience de demain, il comptait conclure en faveur de la transmission d'un tel débat à la Cour de justice. Ainsi, tout porte à croire que, demain soir, nous aurons une autre victoire à fêter ! Si le Premier ministre et le rapporteur public épousent notre volonté de porter la question au niveau européen, il semble très peu vraisemblable que le Conseil d'État le refuse lorsqu'il rendra sa décision dans quelques semaines. Nous devrons ensuite nous préparer pour la bataille finale devant la Cour de justice qui, si nous l'emportons, changera radicalement et durablement le cadre de la surveillance française, mettant un coup d'arrêt aux ambitions de surveillance de masse de François Hollande puis d'Emmanuel Macron. D'ici là, vous êtes toutes et tous invités à venir assister avec nous à l'audience de demain qui clôturera ces trois années de débat français. Elle aura lieu à 14h (mais venez à l'avance !) au Conseil d'État, 1 place du Palais-Royal à Paris (comment s'y rendre). À demain !

Le 2018-07-14


  La-Quadrature - La Smart City policière se répand comme traînée de poudre
En mars, nous levions un bout du voile qui entoure encore le projet orwellien de la « Smart City? » marseillaise. Mais force est de constater que le cas de Marseille n'est que l'arbre qui cache la forêt. Car la police prédictive et les centres de surveillance policière dopés aux Big Data pullulent désormais sur le territoire français. Une dérive qu'illustre très bien le cas de Nice : la ville de Christian Estrosi, grand obsédé sécuritaire, a fait appel à Engie Inéo et Thalès, par ailleurs concurrents sur ce marché en plein essor, pour deux projets censés faire advenir la « Safe City? » niçoise. Or, face à cette fuite en avant dans les technologies de contrôle social que nos élus assument sans rougir, la présidente de la CNIL semble trouver qu'il urgent de... suivre la situation. Ce qui revient à laisser faire. Cet hiver, Christian Estrosi, maire de Nice, a encore fait parler de lui. Il paradait, tout fier du contrat passé avec une entreprise israëlienne pour permettre, via une application smartphone, aux citoyens de se faire auxiliaires de police. Sollicitée par le conseil municipal de la ville, la CNIL a fait savoir fin mars son opposition, pointant le manque de base légale du dispositif ainsi que l'atteinte « disproportionnée » au droit à la vie privée qui en résultait. Mais cette controverse relayée dans les médias a masqué l'essentiel. Car depuis l'an dernier, Nice aussi se prépare à devenir la Smart City? du turfu en misant sur des partenariats avec de grandes entreprises des technologies de contrôle. Et on ne parle pas d'une petite boîte israélienne. On parle de Thales, bien connue, ou d'Engie-Inéo, une filiale Big Data du groupe Engie (Suez) (dans lesquelles l'État français détient respectivement 26,4% et 32,76% de parts). On ne parle pas non plus d'une simple « app » permettant de faire entrer le vigilantisme et la délation à l'ère 3.0, non. On parle de centres de contrôle-commande équipés de tout l'attirail moderne pour sonder quantités de bases de données issues des services publics ou d'entreprises privées, surveiller en temps réel l'espace public urbain et ce qui se dit sur les réseaux sociaux, faire de la police « prédictive »... À Nice, première expérimentation d'Engie Inéo D'une part, il y a le projet d'Engie Inéo, une expérimentation annoncée à l'été 2017 (on devait être à la plage, on était en tout cas passé à côté), qui aurait pris fin en février 2018. L'an dernier la mairie présentait le projet en ces termes : ENGIE Ineo expérimentera à Nice une solution globale de sécurité inédite : un centre de contrôle et de commandement basé sur une table tactile et tactique « DECIDE » et la plateforme SenCity. Le développement progressif de ce dispositif a pour but de mettre à disposition, notamment des autorités policières, une plateforme tactique et tactile pour assurer une coordination globale en temps réel. (...) En sâ€'appuyant sur les ressources locales et sur lâ€'ensemble des données collectées par la métaplateforme SenCity, (caméras, bornes escamotables, feux de circulation, boutons dâ€'alerte, contrôles dâ€'accès des bâtiments) ce dispositif révolutionne les solutions de sécurité mises à disposition des décideurs. C'est du « totalement inédit », à en croire Thierry Orosco, Directeur des Stratégies de Sécurité dâ€'Engie Inéo. Ça ressemble à s'y méprendre à ce qui se trame à Marseille, et dont nous soulignions les dangers il y a quelques semaines. Cette « révolution » marque en tout cas une nouvelle étape dans la privatisation des forces de sécurité, alors que ces outils techniques sont appelés à jouer un rôle central non seulement dans la préemption et la répression policières, mais aussi plus largement dans le « management » des forces de l'ordre. C'est d'ailleurs le premier syndicat de la police municipale qui l'écrit, en réaction à l'affaire Reporty : « Il n'est jamais bon, sur le plan moral, de déléguer le service public de la sécurité à des personnes privées ». La team Thales dans la roue Quant à Thales, elle semble reprendre le flambeau à la tête d'un consortium qui propose une nouvelle « expérimentation ». Le mois dernier, le conseil municipal de Nice votait en effet une convention d'expérimentation « Safe City », en dépit des critiques d'une partie de l'opposition. Thales a aussi jeté son dévolu sur le quartier de La Défense en région parisienne. Le groupe se targue de son expérience dans le domaine de la sécurité et du numérique. Non, il ne s'agit pas de la Plateforme nationale des informations judiciaire des interceptions (PNIJ) (qui, pour le coup, est un fiasco total, très coûteux). Il s'agit de « vidéosurveillance intelligente ». La vidéosurveillance devient « smart » C'est la grande mode. Après avoir dépensé des centaines de millions d'euros pour des caméras aux résultats insignifiants, les industriels ne jurent désormais que par l'analyse automatique des images. Le ministre de l'Intérieur, Gérard Collomb, s'en faisait le VRP encore récemment, alors qu'il dissertait le 8 juin dernier sur la répression des mouvements sociaux (il parlait des ZAD et des manifestations). Et le ministère amer d'indiquer : En matière dâ€'exploitation des images et dâ€'identification des personnes, on a encore une grande marge de progression. Lâ€'intelligence artificielle doit permettre, par exemple, de repérer dans la foule des individus au comportement bizarre1. On imagine, demain, ce que donnera l'utilisation de la reconnaissance faciale en lien avec des fichiers biométriques comme le fichier TES dans ces nouveaux dispositifs répressifs. Ce n'est pas céder à la facilité que de dire qu'en la matière, la Chine montre le chemin. Vers un « Waze de la sécurité » Dans un nouveau document obtenu par La Quadrature du Net et intitulé «  Projet d'expérimentation Safe City », Thales et le consortium qu'il dirige veulent aller plus loin, en créant le « Waze de la sécurité » à la sauce Big Data. Pour aider les « décideurs », il s'agit de « collecter le maximum de données existantes et d'en chercher les corrélations et les signaux faibles » (p. 23), de « développer les nouveaux algorithmes dâ€'analyse et de corrélation permettant de mieux comprendre une situation et de développer des capacités prédictives » (p. 24). Comme à Marseille, la surveillance des réseaux sociaux et autres « données ouvertes » sont en ligne de mire, notamment pour les « textes courts et mal écrits » chers à Twitter qui passeront à la moulinette d'outils d'analyse sémantique pour aider à la gestion des foules, à l'analyse des rumeurs, et le « suivi des actions de certains individus ou groupes de personnes » (là, le spécialiste du consortium est l'entreprise GEOLSemantics). Certes, pour l'heure, tout cela relève aussi et surtout d'un discours marketing destiné à appâter des élus en mal de sensationnel. Dans l'immédiat, ces projets sont bien des expérimentations, avec des « cas d'usage » relativement délimités. Ils permettent en fait à ces grands groupes de faire financer par l'État et les collectivités françaises, avec l'aide de l'Europe2 ou de la Banque publique d'investissement3, leur recherche et développement, et de disposer de « démonstrateurs » grandeur nature pour alimenter leurs campagnes de marketing sécuritaire. Smart City policière, realpolitik industrielle ? Pour ces grands groupes français et leurs émanations institutionnelles telles que le CoFIS (le comité de la filière industrielle de sécurité, organisé au niveau du ministère de l'Intérieur), il s'agit en effet de se positionner dans le marché en plein essor de la Smart City?, alors que les grandes multinationales américaines comme Google ou chinoises comme Huawei sont en embuscade. Tout cela va évidemment bien au-delà du champ de la sécurité. Dans le viseur, l'ensemble des services publics sont concernés, des transports à l'énergie en passant par la gestion des déchets. Sur tous ces sujets, des entreprises comme Thalès ou Engie Inéo espèrent pousser les ville à faire exploser leurs budgets. Et Pierre Cunéo, en charge de la Stratégie, recherche et technologie chez Tales, de regretter que « pour l'instant pas une ville ne demande de tout mettre en réseau (...). Tout cela ne concerne que la sécurité. Les budgets des villes ne permettent pas encore d'aller plus loin ». Là aussi, ces projets d'expérimentation ont valeur de test pour des stratégies de séduction des agents, et convertir ainsi les services publics à leurs « solutions » et les rendant toujours plus dépendants de l'expertise privée. Avec à la clé pléthore de juteux contrats publics. Mais revenons-en à la police. Si, aux États-Unis, les incursions de plus en plus marquées des GAFAM dans le complexe militaro-industriel suscitent des oppositions en interne4, on n'attend pas forcément grand-chose de la part des employés de grandes boîtes associées depuis longtemps aux politiques sécuritaires (mais si on se trompe, des lanceurs d'alerte peuvent nous écrire ou répondre à l'appel de Mediapart !). À Nice, autour du projet de Big Data policier, Estrosi appelle ainsi à « faire vivre un éco-contexte favorable à lâ€'innovation en renforçant ses collaborations avec de grands groupes industriels, des PME et des start-up locales, notamment liées au réseau de la French Tech, ainsi quâ€'avec le monde de la recherche et de lâ€'enseignement ». De fait, les acteurs qui participent au développement et à la banalisation de ces outils de surveillance sont nombreux. Côté recherche, l'origine et la structure des financements et les rapprochements marqués des champs sécuritaires et universitaires sont un véritable problème qui devrait interroger (plusieurs des solutions proposées à Nice par le consortium de Thales sont issues des projets de recherche de la Commission européenne ou de l'Agence nationale de la recherche). Quant à la French Tech, peut-être voudra-t-elle bien, dans un futur pas trop lointain, faire connaître sa volonté de ne pas devenir « pigeon des espions » ? Ou pas. La CNIL attentiste Dans le Sud-Est, on est habitué aux délires sécuritaires. Mais ne vous y trompez pas : tout le monde risque d'y passer dans un futur proche. À Toulouse, à Valenciennes, à Paris, à Dijon, des initiatives similaires sont achevées ou en cours. La vague de la Smart City policière déferle sur la France. En janvier dernier, La Quadrature écrivait à la CNIL pour demander un rendez-vous et discuter de l'action du gendarme de la vie privée dans ces dossiers, et notamment du cas marseillais. Les travaux du comité de prospective de la CNIL l'an dernier5, de même que la « jurisprudence » Reporty qui pointait l'absence de base légale, laissaient augurer d'une opposition claire à l'ensemble de ces projets. Après plusieurs demandes et relances, nous avons finalement reçu un courrier fin juin, qui a pour le moins douché nos espoirs. Isabelle Falque Pierrotin, présidente de la CNIL, nous y écrit : La CNIL entend se montrer particulièrement vigilante quant au développement de dispositifs de ce type qui, à l'évidence, sont susceptibles d'engendrer des risques élevés pour les droits et libertés des individus. (...) J'ai adressé au maire de Marseille un courrier soulignant l'impérieuse nécessité de tenir compte du nouveau cadre juridique relatif à la protection des données personnelles, tel qu'issu de la Directive (UE) 2016/680 et du Règlement (UE) 2016/679 du Parlement européen et du Conseil. Sâ€'agissant d'un projet visant à exploiter à grande échelle des données potentiellement identifiantes et à la sensibilité particulière (infractions, santé, situation sociale, localisation, opinions, etc.), au moyen d'un outil technologique innovant axé sur une mécanique de combinaison d'informations issues de sources diverses et collectées à des fins différentes, intégrant également des activités de surveillance, d'évaluation et de prédiction, j'ai tout particulièrement attiré son attention sur l'obligation lui incombant de procéder à une analyse de l'impact du traitement projeté sur la vie privée et les libertés des personnes concernées. La Commission suivra attentivement la façon dont la Ville a apprécié la pertinence et la proportionnalité des données et opérations auxquels elle envisage de recourir, comme la compatibilité des finalités de réutilisation de ces informations avec celles ayant présidé à leur collecte. Elle s'attachera également à contrôler que l'exploitation de celles-ci, dans les conditions projetées, ne se heurte pas à des dispositions légales encadrant leur traitement et si les intérêts légitimes des individus ont été suffisamment pris en compte. Enfin, elle sera très attentive aux mesures d'encadrement techniques et organisationnelles, prises par la ville pour garantir aux informations un niveau de sécurité approprié. « Vigilance », « analyse d'impact », « suivi attentif ». Autant le diagnostic technique est juste, autant la réponse esquissée s'apparente à un inquiétant laisser-faire. Pour nous, en jugeant sur la base des documents obtenus, il est évident qu'en l'absence d'un cadre législatif ad hoc, et comme le soulignait la CNIL elle-même dans l'affaire Reporty6, ces dispositifs sont illégaux. À l'heure où tout le monde se gausse de l'entrée en vigueur des nouveaux textes européens sur la vie privée, il est pour le moins surprenant de voir ces nouvelles techniques fondamentalement contraires aux grands principes qui fondent ce texte s'imposer au câ€'ur de nos villes . Quant aux études d'impact sur la vie privée que la CNIL appelle de ses vâ€'ux, les projets en cours ne l'envisagent pas (ou alors en des termes très vagues). Si elles sont finalement menées, tout porte à croire que ce sont les prestataires retenus qui seront priés de les réaliser à l'issue de ces coûteuses expérimentations... Cette posture attentiste de la CNIL permet juste de temporiser, le temps que Ministère de l'Intérieur nous sorte un projet de loi sur la « police 3.0 » chère à Gérard Collomb, pour venir légaliser tout cela7. Bref, si l'on veut éviter d'être une nouvelle fois mis devant le fait accompli (comme en 2015 avec la loi renseignement), ce n'est pas la vigilance qu'il nous faut, c'est un moratoire sur l'ensemble de ces projets de Smart City policière. Et des gens qui, sur le terrain, puissent tenir en échec ces technocratie obsédée par le contrôle social. 1.

Le 2018-07-06


  La-Quadrature - Zwielbelfreunde, la police allemande s'en prend à nos oignons
Tribune de Taziden, membre de La Quadrature du Net Le 20 juin, des perquisitions ont été menées1 chez plusieurs dirigeants de l'association allemande « Zwiebelfreunde ». Tous leurs ordinateurs et supports de stockage (disques durs, clés usb) ont été saisis par la police allemande. Le motif invoqué ? Ces trois personnes seraient des « témoins » dans le cadre d'une enquête en cours sur un blog appelant à des manifestations anti-fascistes à Augsbourg, toujours en Allemagne. La police considère que ce blog appelle à des actions violentes. Le lien entre ce blog et Zwiebelfreunde ? Il faut s'accrocher. L'adresse e-mail associée au blog est hébergée par l'organisation américaine Riseup. Et Zwiebelfreunde recueille des dons pour le compte de Riseup. On imagine difficilement une saisie du même acabit chez Google si les personnes à l'origine du blog avaient choisi Gmail. Un peu comme si le local de La Quadrature du Net ainsi que les domiciles de ses dirigeants avaient été perquisitionnés à cause d'un compte créé sur mamot.fr, l'instance Mastodon de l'association. Ça n'a aucun sens. Il s'agit donc d'une attaque claire contre Zwiebelfreunde qui, depuis des années, promeut et facilite l'utilisation d'outils de protection de la vie privée, comme ceux du projet Tor. Elle ?uvre à collecter des fonds pour ces projets, Riseup dans le cas présent. L'argent recueilli par Zwiebelfreunde sert notamment à développer les outils et services fournis par Riseup, à rembourser des frais de déplacement et à maintenir l'infrastructure Tor de Riseup. Des perquisitions ont également eu lieu au siège de l'association, se trouvant être le bureau d'un avocat, ainsi qu'au domicile d'un ancien dirigeant. On peine à comprendre un tel déploiement policier et une telle intrusion dans la vie privée de personnes considérées comme « témoins ». Ne se contentant pas de ces descentes, la police a d'elle-même choisi d'étendre ses recherches au hackerspace d'Augsbourg, OpenLab2. Interprétant le contenu d'un tableau blanc comme décrivant l'élaboration d'une bombe (sic), trois personnes présentes au hackerspace ont été arrêtées et une fouille du local s'en est suivie. La police a saisi du matériel et forcé les cadenas des armoires du lieu contenant des informations personnelles sur les membres du hackerspace. Il ne fait aucun doute que ces données ont été copiées par la police. L'accusation de « préparation d'un attentat à l'aide d'explosifs » semble tout aussi ridicule que le motif de « témoin » invoqué dans le cas des dirigeants de Zwiebelfreunde. Tout comme ces derniers mois avec Bure3, la police allemande semble faire peu de cas des libertés individuelles au profit d'une répression féroce contre les mouvements sociaux et toutes les personnes et organisations pouvant les soutenir, ou fournir une infrastructure indépendante leur permettant de s'organiser. Cette tendance est inquiétante et elle montre qu'il est plus que jamais important de soutenir les initiatives fournissant des outils et services informatiques permettant de s'organiser en autonomie. Nous pensons notamment à Riseup, Tor, Tails, Nos Oignons mais également à Mastodon, Funkwhale, Peertube, Pixelfed et toute cette vague d'outils décentralisés et fédérés qui ne manqueront pas d'être les prochains à être inquiétés par la police, que ça soit par incompétence ou malice. Vous avez encore quelques heures pour soutenir le développement de PeerTube, le réseau de streaming vidéo génial et non-centralisé de nos amis de chez Framasoft. Vous pouvez aussi revoir la vidéo de Lunar, membre du projet Tor et de La Quadrature du Net, qui nous explique pourquoi utiliser Tor. 1. Police searches homes of ?Zwiebelfreunde? board members as well as ?OpenLab? in Augsburg, ccc.de, 04/07/2018 ; Coordinated raids of Zwiebelfreunde at various locations in Germany, torservers.net, 04/07/2018 2. En 2009, la police suédoise avait effectué une perquisition et saisi du matériel dans le hackerspace de Malmö en Suède (Police raid in hack labs? is it still the 80s?, tmplab.org, 08/12/2009). 3. Bure : vague dâ€'interpellations chez les opposants à Cigéo, liberation.fr, 20/06/2018.

Le 2018-07-05


  La-Quadrature - Demain, le Parlement européen devra s'opposer au filtrage automatisé
4 juillet 2018 - Demain, l'ensemble du Parlement européen votera sur la nouvelle directive Copyright. Il y a deux semaines, la commission « Affaires juridiques » du Parlement a adopté un premier texte, obligeant les plateformes commerciales à activement bloquer les contenus qui, envoyés par leurs utilisateurs, sont soumis à droit d'auteur. Demain, le Parlement doit rejeter ce texte. Le 20 juillet, la commission « Affaires juridiques », qui réunit 25 eurodéputés, a arrêté une première position sur la directive Copyright. La majorité de ses membres a adopté un article 13 imposant des techniques de filtrage automatisé sur les plateformes commerciales qui publient et « optimisent » la présentation des contenus envoyés par leurs utilisateurs. YouTube ou Facebook ont déjà mis en place de telles techniques de filtrage depuis longtemps : cet article 13 les rendrait légitimes. Nos communications publiques ne doivent jamais être régulées au moyen de mesures automatisées, que ce soit pour « protéger des droits d'auteur » ou pour lutter contre les discours de haine ou les « fakenews ». Les comportements humains ne doivent pouvoir être encadrés que par des humains, et ce d'autant plus lorsque des libertés fondamentales sont en jeu. Demain, à midi, l'ensemble des 750 eurodéputés pourront et devront rejeter un tel solutionnisme technologique, qui ne ferait que renforcer des géants de l'Internet déjà surpuissants. Une fois rejeté, l'actuel texte sera renégocié par le Parlement. Appelez aujourd'hui les eurodéputés : demandez-leur de renégocier la directive Copyright ! La Quadrature du Net se réjouit à l'idée que des plateformes commerciales non-neutres puissent être soumises à des règles différentes de celles encadrant les services neutres ou non lucratifs. Mais cette distinction ne doit en aucun cas légitimer la censure actuellement imposée par une poignée d'entreprises sur de larges pans du Web. Les futures négociations sur la directive Copyright devront interdire toute mesure de filtrage automatisé plutôt que d'en imposer.

Le 2018-07-04


admin