Révélé et dénoncé par plusieurs associations de défense des droits des personnes transgenres, un récent arrêté ministériel autorise la création d’un fichier de recensement des changements d’état civil. Accessible par la police et présenté comme une simplification administrative, ce texte aboutit en réalité à la constitution d’un fichier plus que douteux, centralisant des données très sensibles, et propice à de nombreuses dérives. Le choix de créer un tel fichier pose d’immenses problèmes aussi bien politiquement que juridiquement.

Brève histoire du RNIPP

Comme beaucoup d’actes réglementaires pris en fin d’année, l’arrêté du 19 décembre 2023 « portant création d’un traitement automatisé de données à caractère personnel dénommé « table de correspondance des noms et prénoms » » aurait pu passer inaperçu. Il est pourtant d’une sensibilité extrême.

Avant d’en détailler le contenu, revenons rapidement sur le contexte et l’origine de ce texte. Celui-ci découle d’un autre acte réglementaire : un décret-cadre de 2019 relatif à l’utilisation du Numéro d’identification au répertoire national des personnes physiques (NIR). Le NIR, c’est ce fameux numéro « de sécurité sociale » attribué à chaque personne à sa naissance sur la base d’éléments d’état civil transmis par les mairies à l’INSEE. Bien que, dans les années 1970, le projet d’utiliser le NIR pour interconnecter des fichiers d’États ait inquiété et conduit à la création de la CNIL, il est aujourd’hui largement utilisé par les administrations fiscales, dans le domaine des prestations sociales, dans l’éducation ou encore la justice, ainsi que pour le recensement. Le NIR peut également être consulté au travers du répertoire national d’identification des personnes physiques (RNIPP).

Si, en théorie, ce numéro devrait être très encadré et contrôlé par la CNIL, son utilisation est aujourd’hui très étendue, comme le démontre ce fameux décret-cadre de 2019 qui recense la longue liste des traitements utilisant le NIR ou permettant la consultation du RNIPP. Régulièrement mis à jour pour ajouter chaque nouveau traitement lié au NIR ou RNIPP, le décret a ainsi été modifié en octobre 2023 pour autoriser une nouvelle possibilité de consultation du RNIPP lié au changement d’état civil. C’est donc cela que vient ensuite préciser l’arrêté de décembre, objet de nos critiques.

Lorsqu’on lit le décret et l’arrêté ensemble, on comprend qu’il accorde aux services de police un accès au RNIPP « pour la consultation des seules informations relatives à l’identité des personnes ayant changé de nom ou de prénom » en application du code civil, à l’exclusion du NIR, et ce « aux fins de transmission ou de mise à disposition de ces informations aux services compétents du ministère de l’intérieur et des établissements qui lui sont rattachés et de mise à jour de cette identité dans les traitements de données à caractère personnel mis en œuvre par eux ». Il s’agirait du premier accès au RNIPP accordé au ministère de l’intérieur.

Un fichier de données sensibles…

Dans ce nouveau fichier, seront ainsi enregistrées pendant six ans les données liées au changement d’état civil ayant lieu après le 19 décembre 2023 : les noms de famille antérieurs et postérieurs au changement de nom, les prénoms antérieurs et postérieurs au changement de prénom, la date et le lieu de naissance, la date du changement de nom ou de prénom, le sexe et le cas échéant, la filiation.

Ces changements ne concernent pas l’utilisation d’un nom d’usage, tel que le nom de la personne avec qui l’on est marié·e, qui est le changement le plus courant. En pratique, de telles modifications d’état civil concerneraient deux principales situations : le changement de prénom lors d’une transition de genre ou le changement de nom et/ou prénom que des personnes décident de « franciser », notamment après une obtention de papiers. Si le fichier apparaît comme un instrument de simplification administrative au premier regard, il constitue également – comme l’ont dénoncé les associations de défense des droits LGBTQI+ – un fichier recensant de fait les personnes trans et une partie des personnes immigrées.

D’un point de vue juridique, notre analyse nous conduit à estimer que ce fichier contient des données dites « sensibles », car elles révéleraient « la prétendue origine raciale ou l’origine ethnique » ainsi que « des données concernant la santé ». La Cour de justice de l’Union européenne a récemment établi¹Voir l’arrêt de la CJUE, gr. ch., 1er août 2022, OT c. Vyriausioji tarnybin˙es etikos komisija, aff. C-184/20 que la définition des données sensibles devait être interprétée de façon large et considère que si des données personnelles sont susceptibles de dévoiler, même de manière indirecte, des informations sensibles concernant une personne, elles doivent être considérées comme des données sensibles. Dans cette même décision, la Cour ajoute ainsi que si les données traitées ne sont pas sensibles lorsqu’elles sont prises indépendamment mais que, par recoupement avec d’autres données (fait par le traitement ou par un tiers) elles peuvent malgré tout révéler des informations sensibles sur les personnes concernées, alors elles doivent être considérées comme étant sensibles.

C’est exactement le cas ici : les noms et prénoms ne sont pas des données sensibles, mais si une personne tierce a en parallèle l’information que ceux-ci ont été modifiés, elle peut, par recoupement, en déduire des informations sur la transidentité d’une personne (qui changerait de Julia à Félix) ou son origine (qui passerait de Fayad à Fayard pour reprendre l’exemple donné par l’État). Cette table de correspondance crée donc en réalité un traitement de données sensibles. Or celles-ci sont particulièrement protégées par la loi. L’article 6 de la loi informatique et libertés de 1978 et l’article 9 du RGPD posent une interdiction de principe de traiter ces données et prévoient un nombre limité d’exceptions l’autorisant. Pourtant, dans sa délibération sur le décret, d’ailleurs particulièrement sommaire, la CNIL ne s’est pas penchée sur cette conséquence indirecte mais prévisible de création de données sensibles. Celles-ci seraient donc traitées en dehors des règles de protection des données personnelles.

…à destination de la police

Ensuite, la raison d’être de ce fichier particulièrement sensible interroge. La finalité avancée dans l’arrêté est « la consultation de l’identité des personnes ayant changé de nom ou de prénom en application des articles 60, 61 et 61-3-1 du code civil » et « la mise à jour de cette identité dans les traitements de données à caractère personnel que [le ministre de l’intérieur] ou les établissements publics qui lui sont rattachés mettent en œuvre ». En première lecture, on pourrait imaginer qu’il s’agit de simple facilité de mise à jour administrative. Pourtant, celle-ci diffère des procédures existantes. En effet, aujourd’hui, lorsqu’une personne change de prénom et/ou de nom, la mairie ayant enregistré le changement d’état civil informe l’INSEE qui met à jour le RNIPP et prévient les organismes sociaux et fiscaux (Pôle Emploi, les impôts, la CPAM…). En parallèle, la personne concernée doit faire un certain nombre de procédures de modifications de son coté (carte d’identité, de sécurité sociale, permis de conduire…)²L’Amicale Radicale des Cafés Trans de Strasbourg a publié dans un billet de blog un récapitulatif de l’ensemble des démarches à effectuer pour changer d’état civil en France..

Aucune administration n’a donc, à aucun moment, accès à un fichier recensant les changements d’état civil puisque ces modifications sont faites de façon distribuée, soit à l’initiative de l’INSEE soit à celle de la personne concernée. Pourquoi ne pas en rester là ? La raison tient sans doute au fait qu’en réalité, ce fichier est un des instruments de surveillance de la police. La lecture des nombreux destinataires du traitement est éloquente. Il s’agit des agents habilités de la police nationale et de la gendarmerie nationale, des agents habilités des services centraux du ministère de l’Intérieur et des préfectures et sous-préfectures, des agents effectuant des enquêtes administratives (pour des emplois publics ou demandes de séjour) ou des enquêtes d’autorisation de voyage, ou encore de l’agence nationale des données de voyage, du commandement spécialisé pour la sécurité nucléaire et du conseil national des activités privées de sécurité (sécurité privée qui a de plus en plus de pouvoir depuis la loi Sécurité globale…).

On le comprend alors : cette « table de correspondance » a pour unique but d’être consultée en parallèle d’autres fichiers de police, dont le nombre a explosé depuis 20 ans (il y en aurait aujourd’hui plus d’une centaine³Le dernier décompte a été fait en 2018 dans un rapport parlementaire sur le sujet ) et dont les périmètres ne cessent de s’élargir. Ainsi, par exemple, lorsqu’un agent de police contrôle l’identité d’une personne, il ne consultera plus seulement le fichier de traitement des antécédents judiciaires (ou TAJ), mais également ce fichier des personnes ayant changé de nom : le premier lui permettra alors de connaître les antécédents de la personne, et le second de savoir si elle est trans ou étrangère.

Si les deux situations soulèvent des inquiétudes sérieuses, attardons-nous sur le cas des personnes trans. Elles seront outées de fait auprès de la police qui aurait alors connaissance de leur deadname⁴Le lexique du site Wiki Trans définit l’outing comme la révélation « qu’une personne est trans (ou LGBTQIA+). L’outing ne doit JAMAIS se faire sans le consentement de la personne concernée. Et cela peut être considéré, dans le code pénal, comme une atteinte à la vie privée ». Le deadname est le « prénom assigné à la naissance » et peut être source de souffrance pour une personne trans.. Or de nombreux témoignages, tels que ceux recensés chaque année par SOS Homophobie dans ses rapports sur les LGBTI-phobies, démontrent qu’il existe une réelle transphobie au sein de la police. Compte tenu de ces discriminations et des violences qui peuvent y êtres associées, fournir de telles informations à la police aura non seulement pour effet de les renforcer mais peut également mettre en danger les personnes trans confrontées à la police. Ces craintes ont été partagées sur les réseaux sociaux et laissent entendre que certain·es pourraient renoncer à entamer de telles démarches de changement d’état civil face à la peur d’être présent·es dans un tel fichier. De façon générale, les personnes trans sont historiquement et statistiquement davantage victimes de violences policières.

Par ailleurs, les informations de cette « table de correspondance » pourront venir nourrir le renseignement administratif, notamment le fichier PASP qui permet de collecter un grand nombre d’informations, aussi bien les opinions politiques que l’activité des réseaux sociaux ou l’état de santé des dizaines de milliers de personne qui y sont fichées. Alors que ces capacités de surveillance prolifèrent, sans aucun réel contrôle de la CNIL (nous avons déposé une plainte collective contre le TAJ il y a plus d’un an, toujours en cours d’instruction par l’autorité à ce jour), l’arrêté de décembre dernier offre à la police toujours plus de possibilités d’en connaître davantage sur la population et de nourrir son appétit de généralisation du fichage.

Un choix dangereux en question

Au-delà de cette motivation politique, qui s’inscrit dans une extension sans limite du fichage depuis deux décennies, il faut également critiquer les implications techniques liées à la création d’un tel fichier. En centralisant des informations, au demeurant très sensibles, l’État crée un double risque. D’une part, que ces informations dès lors trop facilement accessibles soient dévoyées et fassent l’objet de détournement et autres consultations illégales de la part de policiers, comme pour bon nombre de fichiers de police au regard du recensement récemment effectué par Mediapart.

D’autre part, du fait de la centralisation induite par la création d’un fichier, les sources de vulnérabilité et de failles de sécurité sont démultipliées par rapport à un accès décentralisé à ces informations. Avec de nombreux autres acteurs, nous formulions exactement les mêmes critiques en 2016 à l’encontre d’une architecture centralisée de données sensibles au moment de l’extension du fichier TES à l’ensemble des personnes détentrices d’une carte d’identité, cela aboutissant alors à créer un fichier qui centralise les données biométriques de la quasi-totalité de la population française.

En somme, ce décret alimente des fichiers de police déjà disproportionnés, en y ajoutant des données sensibles en dérogation du cadre légal, sans contrôle approprié de la CNIL et touche principalement les personnes trans et étrangères, facilitant par là le travail de surveillance et de répression de ces catégories de personnes déjà stigmatisées par la police.

Cette initiative n’est pas unique à la France et s’inscrit dans un mouvement global inquiétant. En Allemagne, malgré l’objectif progressiste d’une loi de 2023 sur le changement de genre déclaratif, des associations telles que le TGEU ont dénoncé le fait que les modifications d’état civil soient automatiquement transférées aux services de renseignement. Aux États-Unis, différents États ont adopté des lois discriminatoires vis-à-vis des personnes trans, forçant certaines personnes à détransitionner ou bien à quitter leur État pour éviter de perdre leurs droits. Au Texas, le procureur général républicain a essayé d’établir une liste des personnes trans à partir des données relatives aux modifications de sexe dans les permis de conduire au cours des deux dernières années.

En outre, ce décret crée pour la première fois un accès pour le ministère de l’Intérieur au RNIPP, répertoire pourtant réservé aux administrations sociales et fiscales. Or, l’expérience nous montre que toute nouvelle possibilité de surveillance créé un « effet cliquet » qui ne conduit jamais à revenir en arrière mais au contraire à étendre toujours plus les pouvoirs accordés.

Nous nous associons donc aux différentes organisations ayant critiqué la création de ce fichier stigmatisant et qui participe à l’édification d’un État policier ciblant des catégories de populations déjà en proie aux discriminations structurelles. Nous espérons qu’outre ses dangers politiques, son illégalité sera dénoncée et conduira rapidement à son abrogation.

Après des mois d’attente, les entreprises chargées de mettre en place la vidéosurveillance algorithmique dans le cadre de la loi Jeux Olympiques ont été désignées. Sans grande surprise, il s’agit de sociétés s’étant insérées depuis plusieurs années dans le marché de cette technologie ou entretenant de bonnes relations avec l’État. Les « expérimentations » vont donc commencer très prochainement. Nous les attendons au tournant.

Un marché juteux

Rappelez-vous : le 17 mai 2023, le Conseil constitutionnel validait le cadre législatif permettant à la police d’utiliser la vidéosurveillance algorithmique (VSA) en temps réel, après plusieurs mois de bataille législative en plein mouvement des retraites. Depuis, que s’est-il passé ? Un appel d’offres a tout d’abord été publié dès l’été pour lancer la compétition entre les nombreuses entreprises qui ont fleuri ces dernières années dans le secteur. Ce marché public, accompagné de clauses techniques, décrit les exigences auxquelles devront se soumettre les entreprises proposant leurs services et, en premier lieu, les fameuses situations et comportements « suspects » que devront repérer les logiciels afin de déclencher une alerte. En effet, la loi avait été votée à l’aveugle sans qu’ils soient définis, ils ont ensuite été formalisés par un décret du 28 août 2023.

Comme nous le l’expliquons depuis longtemps¹Pour une analyse plus approfondie de nos critiques sur la VSA, vous pouvez lire notre rapport de synthèse envoyé aux parlementaires l’année dernière ou regarder cette vidéo de vulgarisation des dangers de la VSA., ces comportements n’ont pour beaucoup rien de suspect mais sont des situations pour le moins banales : détection de personne au sol après une chute (attention à la marche), non-respect du sens de circulation commun par un véhicule ou une personne (attention à son sens de l’orientation), densité « trop importante » de personnes, mouvement de foule (argument répété sans cesse pendant les débats par Darmanin) mais aussi détection d’armes, de franchissement de zone, d’objets abandonnés ou de départs de feu. Le tout pour 8 millions d’euros d’acquisition aux frais du contribuable.

Sans surprise, ces huit cas d’usage pour les algorithmes commandés par l’État dans le cadre de cette expérimentation correspondent à l’état du marché que nous documentons depuis plusieurs années au travers de la campagne Technopolice. Ils correspondent aussi aux cas d’usage en apparence les moins problématiques sur le plan des libertés publiques (l’État se garde bien de vouloir identifier des personnes via la couleur de leurs vêtements ou la reconnaissance faciale, comme la police nationale le fait illégalement depuis des années). Et ils confirment au passage que cette « expérimentation » est surtout un terrain de jeu offert aux entreprises pour leur permettre de développer et tester leurs produits, en tâchant de convaincre leurs clients de leur intérêt.

Car depuis des années, la VSA prospérait à travers le pays en toute illégalité – ce que nous nous efforçons de dénoncer devant les tribunaux. Ces sociétés ont donc œuvré à faire évoluer la loi, par des stratégies de communication et d’influence auprès des institutions. Le déploiement de cette technologie ne répond à aucun besoin réellement documenté pour les JO²Si les Jeux Olympiques constituent sans aucun doute un moment « exceptionnel » au regard du nombre inédit de personnes qui seront au même moment dans la région parisienne, la surveillance n’est pas la réponse à apporter. Nous démontions l’année dernière l’idée selon laquelle les technologies sécuritaires auraient pu modifier le cours du « fiasco » de la finale de la Ligue des champions au Stade de France. Comme nous l’exposons, celle-ci n’était causée par rien d’autre qu’une mauvaise gestion stratégique du maintien de l’ordre. Pour pallier à ces défaillances humaines, auraient été utiles non pas la VSA ou la reconnaissance faciale mais un véritable savoir-faire humain de gestion de la foule, des compétences logistiques, des interlocuteurs parlant plusieurs langues….mais résulte uniquement d’une convergence d’intérêts (économiques pour le secteur, politiques pour les décideurs publics et autoritaires pour la police qui accroît toujours plus son pouvoir de contrôle), le tout enrobé d’un double opportunisme : l’exploitation du discours de promotion de l’innovation et l’instrumentalisation, comme dans bien d’autres pays hôtes avant la France, du caractère exceptionnel des Jeux olympiques pour imposer ces technologies.

Après plusieurs mois de tests et de mises en situation, retardées par le fait qu’une entreprise a contesté en justice les conditions du marché, celui-ci a donc été attribué au début du mois de janvier. Le marché est divisé en quatre lots géographiques. La start-up Wintics installera ses logiciels en Île-de-France quand Videtics se chargera de l’Outre-Mer et d’un ensemble de régions du Sud (Provence Alpes Cote d’Azur, Rhône-Alpes et Corse). Pour les autres régions de France, c’est Chapsvision qui a été désignée. Cette entreprise omniprésente dans les services de l’État et qui se veut le nouveau Palantir français, vient de racheter la start-up de VSA belge ACIC. Enfin, Wintics s’est également vu attribuer la surveillance des transports (comprenant gares et stations). Quant à Orange Business Service – en partenariat avec Ipsotek, filiale d’Atos (nouvellement Eviden), elle est également attributaire au 3e rang du lot des transports, c’est à dire mobilisable en cas de défaillance de Wintics. Du beau monde !

Une évaluation incertaine

Ces entreprises pourront ainsi mettre à disposition leurs algorithmes, bien au-delà des seuls Jeux olympiques puisque cette expérimentation concerne tout « évènement récréatif, sportif et culturel », et ce jusqu’au 31 mars 2025 soit bien après la fin des JO. Elle sera par la suite soumise à une « évaluation » présentée comme particulièrement innovante mais dont les modalités avaient en réalité été envisagées dès 2019 par Cédric O, alors secrétaire d’État au numérique, comme une manière de légitimer la reconnaissance faciale. Ces modalités ont été précisée par un second décret en date du 11 octobre 2023. Ainsi, un « comité d’évaluation » verra prochainement le jour et sera présidé par Christian Vigouroux, haut fonctionnaire passé par la section Intérieur du Conseil d’État. Le comité sera divisé en deux collèges distincts. Le premier réunira les « utilisateurs » de la VSA, c’est à dire la police, la gendarmerie, la SNCF, etc. Le second rassemblera des « personnalités qualifiées » telles que des experts techniques, des spécialistes du droit des données personnelles et des libertés publiques ou encore des parlementaires. Ils devront déterminer et mettre en œuvre un protocole d’évaluation qui ne sera rendu public qu’à la fin de l’expérimentation en mars 2025.

Mais il ne faut pas se leurrer. Au regard de l’agenda politique de ces entreprises et des autorités qui veulent, à long terme, légaliser ces outils et de façon générale toute forme de surveillance biométrique³Plusieurs rapports parlementaires préconisent déjà d’aller plus loin en généralisant le recours à la reconnaissance faciale en temps réel ou la VSA en temps différé, massivement utilisée de façon illégale dans les enquêtes judiciaires. Voir ainsi le rapport de 2022 des sénateurs Marc-Philippe Daubresse (LR), Arnaud de Belenet et Jérôme Durain (PS) sur « la reconnaissance biométrique dans l’espace public » et le rapport de 2023 des députés Philippe Latombe (Modem) et Philippe Gosselin (LR) « sur les enjeux de l’utilisation d’images de sécurité dans le domaine public dans une finalité de lutte contre l’insécurité ». Le gouvernement français s’est également ménagé d’importantes marges de manœuvre pour ce faire à travers son lobbying féroce autour du règlement IA, afin de tenir en échec toute limitation un tant soit peu significative de la surveillance biométrique des espaces publics., cette « expérimentation » pendant les Jeux olympiques doit être vue comme une simple étape vers la légitimation et la pérennisation de ces technologies. En évoquant un dispositif au caractère temporaire et réversible, ce concept d’« expérimentation », permet de rendre une technologie aussi controversée que la VSA plus facilement acceptable pour le public.

Le caractère expérimental permet également de sortir du cadre classique juridique d’examen de proportionnalité. Ainsi l’évaluation ne portera pas sur les critères habituels de nécessité vis à vis d’un objectif d’intérêt public ou de proportionnalité vis à vis des atteintes aux droits. Non, l’évaluation sera plutôt guidée par une approche pragmatique et opérationnelle. On peut imaginer que seront pris en compte le nombre de cas détectés ou le nombre d’interpellations, sans mesurer leur réelle utilité sur la sécurité en tant que politique publique globale, et ce, dans la lignée de la politique du chiffre conduite depuis des années par le Ministère de l’intérieur.

Surtout, on peine à voir comment l’État abandonnerait soudainement une technologie dans laquelle il a tant investi et à laquelle il a déjà cédé énormément de place dans les pratiques policières. Les exemples passés nous montrent que les projets sécuritaires censés être temporaires sont systématiquement prolongés, telles que les boites noires de la loi Renseignement ou les dispositions dérogatoires de l’état d’urgence.

L’issue du comité d’évaluation risque donc d’être surdéterminée par les enjeux politiques et économiques : si l’efficacité policière de ces technologies est jugée satisfaisante, on appellera à les pérenniser ; dans le cas contraire, on évoquera la nécessité de poursuivre les processus de développement afin que ces technologies parviennent à un stade de maturation plus avancé, ce qui justifiera de proroger le cadre expérimental jusqu’à ce que, in fine, elles aient fait leurs preuves et qu’on puisse alors établir un cadre juridique pérenne. À la fin, c’est toujours la police ou les industriels qui gagnent. Or, nous le répétons depuis des années : le choix qui devrait s’imposer à toute société qui se prétend démocratique est celui de l’interdiction pure et simple de ces technologies. Mais il est clair qu’en l’absence de pression citoyenne en ce sens, ni le gouvernement, ni la CNIL, ni la plupart des autres acteurs invités à se prononcer sur les suites à donner à l’expérimentation de la VSA ne voudront envisager de refermer la boîte de Pandore.

Le public au service du privé

Le décret du 11 octobre 2023 prévoit également la création d’un « comité de pilotage » au sein du ministère de l’Intérieur, chargé de la mise en œuvre de cette surveillance « expérimentale ». Celui-ci sera confié à Julie Mercier, cheffe de la direction des entreprises et partenariats de sécurité et des armes (Depsa). Cela est peu surprenant mais révélateur, une fois de plus, des réels intérêts en jeu ici. La Depsa est dotée d’un département « des industries et innovations de sécurité » qui est présenté comme devant assurer « l’interface et le dialogue avec les entreprises productrices de moyens de sécurité » ainsi que participer « à la veille technologique et industrielle » et « au contrôle des investissements étrangers en France et au suivi des entreprises à protéger prioritairement ». Ainsi, sa raison d’être est de stimuler et influencer le marché privé de la sécurité, voire d’aller prodiguer directement des conseils lors de réunions des lobbys de la surveillance. On pourrait être surpris de voir de tels objectifs et pratiques orientées vers le privé dans le fonctionnement d’un ministère régalien. Il s’agit pourtant d’une politique assumée et enclenchée il y a une dizaine d’années, et dont le paroxysme a été à ce jour la loi Sécurité globale consacrant le « continuum de sécurité » entre public et privé.

Lors du salon Mlilipol – grand-messe du marché de la sécurité et de la surveillance – qui s’est tenu en novembre dernier en région parisienne, et où les Jeux olympiques étaient à l’honneur, Julie Mercier expliquait ainsi vouloir « participer à la construction de la base industrielle et technologique de sécurité », car « les entreprises, et pas seulement les grands opérateurs, sont essentielles dans l’expression du besoin et dans la structuration de la filière ». Pour elle, le programme d’expérimentations mis en place en 2022 par le ministère de l’Intérieur dans la perspective des Jeux olympiques a permis d’enclencher une « dynamique vertueuse ». Ce mélange des genres démontre un des objectifs principaux de l’expérimentation : promouvoir le marché privé de la surveillance numérique, en l’associant étroitement aux politiques publiques.

Et maintenant ?

Les expérimentations devraient donc être mises en route dans les prochaines semaines. En théorie, la loi prévoyait une première étape de « conception » des algorithmes, qui nous inquiétait particulièrement. Dans le but de paramétrer les logiciels, elle autorisait de façon inédite le Ministère de l’intérieur à utiliser les images des caméras publiques afin d’améliorer les algorithmes. La CNIL s’est même inquiétée dans sa délibération de l’absence d’information des personnes qui, par leur présence sur une image, nourrirait des logiciels.

Sauf que du fait du retard du processus (l’État voulait initialement débuter les expérimentations lors de la coupe du monde de rugby) couplée à l’impatience des entreprises et de la police et au risque du fiasco si la VSA était en fin de compte remise sur l’étagère, le ministère de l’Intérieur s’est décidé à passer rapidement à la phase de mise en œuvre à travers l’acquisition de solutions toutes prêtes. Cependant, cela ne réduit aucunement les craintes à avoir. Si les logiciels sont censés répondre à un ensemble de critères techniques définis par la loi, l’opacité régnant sur ces technologies et l’absence de mécanisme de transparence empêche de facto de connaître la façon dont ils ont été conçus ou la nature des données utilisées pour l’apprentissage.

Après avoir été auditées et certifiées par une autorité tierce⁴D’après l’avis d’attribution de l’appel d’offre, il s’agira du Laboratoire National de Métrologie et d’Essais (LNE), inconnu au bataillon., ces solutions seront donc intégrées au plus vite aux infrastructures de vidéosurveillance dans les zones où les préfectures en feront la demande. Chaque autorisation fera l’objet d’un arrêté préfectoral rendu public, ce qui devrait permettre de connaître l’emplacement, la nature et la durée de la surveillance mise en place.

Nous les attendrons au tournant. L’expérimentation de la VSA ne doit pas rester invisible. Au contraire, il nous faudra collectivement documenter et scruter ces arrêtés préfectoraux afin de pouvoir s’opposer sur le terrain et rendre matérielle et concrète cette surveillance de masse que tant veulent minimiser. La voix des habitantes et habitants des villes, des festivalier·es, des spectateur·ices, de l’ensemble des personnes qui seront sous l’œil des caméras, sera cruciale pour rendre visible l’opposition populaire à ces technologies de contrôle. Dans les prochains mois, nous tâcherons de proposer des outils, des méthodes et des idées d’actions pour y parvenir et lutter, avec vous, contre l’expansion de la surveillance de masse dans nos rues et dans nos vies.

Durant quatre semaines, en octobre dernier, se sont tenues au tribunal de Paris les audiences du procès du « 8 décembre ». Dans cette affaire, sept personnes sont poursuivies pour « association de malfaiteurs terroristes ». Toutes contestent les faits reprochés et trois ans d’instruction n’auront pas réussi à faire émerger la moindre preuve de projet terroriste. Parmi les « preuves » avancées par le parquet et les agents de renseignement pour démontrer cette intention « terroriste », on retrouvait des éléments relatifs à l’utilisation d’outils de protection de la vie privée, censés illustrer une certaine clandestinité. Scandalisé·es, nous avions révélé et dénoncé vigoureusement cet amalgame dangereux et malhonnête. Quelle a été la place accordée à ce sujet lors de l’examen de l’affaire par le tribunal correctionnel antiterroriste ? Retour sur les audiences auxquelles nous avons assisté, en amont de l’annonce du délibéré prévue pour le 22 décembre prochain¹Pour rattraper l’ensemble du contenu du procès, plusieurs médias ont fait un compte-rendu régulier des audiences, notamment le blog des comités de soutiens, Le Monde, Mediapart, lundimatin, L’Obs ou encore Libération..

Durant le procès, ont été successivement passées en revue les personnalités des prévenu·es, puis l’examen par thème des faits qui leur sont reprochés. Après la question des explosifs, de la détention d’armes, la pratique de l’« airsoft » (qualifiée d’« entraînements paramilitaires » par le parquet), la question du « numérique » a donc été examinée. Ainsi, plusieurs inculpé·es ont été questionné·es sur leur utilisation de logiciels et applications telles que Signal, Tor, Tails ou sur le chiffrement de leurs ordinateurs et disques durs. Cet interrogatoire a suivi la même ligne directrice que celle du dossier d’instruction, que nous avions révélé il y a quelques mois : à la fois une grande confusion quant à la compréhension technique de ces outils et une vision suspicieuse de la réalité de leurs usages. Trois prévenu·es ont ainsi été questionné·es sur ce qui les poussait à utiliser ces logiciels, comme s’il fallait une justification, une explication argumentée, alors qu’il s’agit d’outils sains, légaux et banals.

« Il est possible et non interdit d’avoir ces outils mais on peut se demander pourquoi dissimuler l’information » s’est ainsi interrogée la présidente. La suspicion de clandestinité couplée à une faible connaissance du sujet transparaissaient dans les questions : « Vous expliquez que l’usage de ce “genre de réseaux” [en l’occurrence Signal] était pour préserver votre vie privée, mais avez-vous peur d’être surveillée ? ». Ou encore : « Pourquoi cela vous avait paru important ou une bonne idée de découvrir ce “genre d’environnement” [cette fois-ci il s’agit du système d’exploitation Tails] ? ». Une juge assesseure n’a pas hésité à utiliser le champ lexical des armes quand elle a essayé de comprendre pourquoi un tel « arsenal complet de divers outils » a été utilisé, laissant présumer une « volonté de discrétion » de la part des prévenu·es. De l’autre coté de la barre, les inculpé·es ont répondu d’une façon simple et cohérente qui peut se résumer ainsi : « c’est ma vie privée, c’est mon droit, c’est important, il est banal d’utiliser ces outils, en particulier dans le monde militant dont on sait qu’il est de plus en plus exposé à la surveillance d’État ».

La question du refus de donner ses clés de déchiffrement a elle aussi été abordée. En l’occurrence, plusieurs prévenu·es ont refusé lors de leur arrestation de fournir aux agents de la DGSI chargés de l’enquête les codes de déverrouillage d’ordinateur, de téléphone ou encore de disque dur saisis en perquisition. En France, un tel refus peut constituer une infraction sur la base d’une disposition interprétée largement et très contestée. Face à l’incompréhension des juges — pourquoi s’exposer aussi frontalement à des poursuites pénales ? — les prévenu·es ne leur ont pas fourni les aveux attendus. Au contraire, les personnes interrogées ont amené la discussion plus loin, sur leurs libertés et droits fondamentaux, levant le voile sur la violente réalité des procédures antiterroristes. « Dans un moment de vulnérabilité telle que celui de la garde à vue, après avoir donné mon ADN, je voulais m’attacher à ce qu’il me restait d’intimité, je voulais la conserver » explique Camille, une prévenue présentée comme l’experte numérique par le procureur. Loïc, un autre inculpé renchérit : « Je savais que la DGSI allait réussir à déchiffrer mon matériel informatique et voir que je ne suis pas dangereux, c’était ma manière de montrer mon refus car ma liberté et mon intimité sont plus précieuses ».

Enfin, dans le but d’éclairer les juges sur le fonctionnement des outils mis en cause dans le dossier et la réalité de leurs usages, un membre de La Quadrature du Net, également développeur de l’application Silence, est venu témoigner au procès. Qu’il s’agisse du chiffrement, de Signal, Tor, Tails ou du système d’exploitation /e/OS, son témoignage est revenu sur la banalité des technologies derrière ces applications et leur usage généralisé et nécessaire dans la société numérisée contemporaine, loin des fantasmes de clandestinité de la DGSI et du parquet. Les magistrates ne lui ont pourtant posé que peu de questions. Le parquet, lui, s’est uniquement ému que des éléments du dossier, pourtant non couverts par le secret de l’instruction, aient pu être portés à la connaissance du témoin. Un mauvais numéro de théâtre qui laissait surtout deviner une volonté de le décrédibiliser lui ainsi que le contenu de son témoignage.

De façon générale, la place des pratiques numériques a été faible relativement à l’ampleur et la durée du procès, et bien en deça de celle qui lui était accordée dans le réquisitoire ou l’ordonnance de renvoi du juge d’Instruction. Quelle interprétation tirer à la fois du manque d’intérêt des juges et de la faible quantité de temps consacrée à ce sujet ? Difficile d’avoir des certitudes. On pourrait y voir, d’un coté, une prise de conscience des magistrates et du parquet de l’absurdité qu’il y a à reprocher l’utilisation d’outils légaux et légitimes. Rappelons que plus de 130 universitaires, journalistes, militant·es, acteur·rices du monde associatif et de l’écosystème numérique ont signé une tribune dans le journal Le Monde pour dénoncer cette instrumentalisation et défendre le droit au chiffrement. Mais d’un autre coté, cette désinvolture pourrait être le signe d’un manque de considération pour ces questions, notamment quant à l’importance du droit à la vie privée. Cela ne serait pas étonnant, dans une procédure qui se fonde sur une utilisation intensive de techniques de renseignement et sur une surveillance disproportionnée de sept personnes dont la vie a été broyée par la machine judiciaire.

La lecture du jugement est prévue pour le 22 décembre. Que le tribunal retienne le recours à des technologies protectrices de la vie privée dans la motivation de sa décision ou qu’il laisse cet enjeu de côté, le récit fictif de la police à ce sujet risque d’avoir des conséquences à long terme. Le précédent d’une inculpation anti-terroriste reposant essentiellement sur ce point existe désormais et il est difficile de croire qu’à l’heure où le chiffrement fait l’objet de nombreuses attaques, en France et en Europe, la police ne réutilisera pas cette logique de criminalisation pour justifier une surveillance toujours plus accrue de la population et des groupes militants.

Communiqué de l’Observatoire des libertés et du numérique (OLN), Paris, le 23 novembre 2023.

Le 16 novembre 2023, le Conseil constitutionnel a rendu sa décision sur la loi de programmation de la justice en censurant une disposition relative à l’activation à distance des objets électroniques. Pour les organisations de l’Observatoire des libertés et du numérique (OLN) qui s’étaient fortement opposées à cette mesure, cette décision est plus que bienvenue. Pour autant, elle ne saurait constituer une victoire criante.

Il faut se souvenir des récentes décisions de ce même Conseil constitutionnel faisant peu cas du respect des libertés : validation de la vidéosurveillance algorithmique dans la loi JOP 2024, légalisation des drones, blanc-seing à l’assouplissement de la procédure pénale dans la LOPMI au nom d’une « efficacité opérationnelle »… Si l’on peut saluer le sursaut de la décision de la semaine dernière, il est difficile d’y déceler une volonté de mettre fin à la fuite en avant sécuritaire, tant cette institution l’a accompagnée ces dernières années. Pour caractériser une atteinte au droit à la vie privée, le Conseil retient qu’il existe un risque pour les tierces personnes étant dans le champ d’une éventuelle captation déclenchée par cette activation à distance du micro ou de la caméra. Si nous saluons l’établissement d’une telle limite, qui pourra servir d’argument pour d’autres types de surveillance, nous regrettons que le Conseil ne prenne jamais en compte le changement de paradigme philosophique et politique qu’implique la possibilité de transformation de tout objet numérique en mouchard de la police.

Cette absence dans le raisonnement s’illustre par la validation pure et simple de l’activation à distance des fonctions de géolocalisation de téléphone et autres objets connectés (voiture, balises airtag, montre etc) qui repose exactement sur le même procédé technique que le dispositif censuré : la compromission d’un périphérique, en y accédant directement ou par l’intermédiaire d’un logiciel espion pour en prendre le contrôle à distance. Or, une telle possibilité soulève de graves problèmes en termes de vie privée, de sécurité et d’intégrité des preuves. On le comprend, le caractère intrusif de cette technique, pourtant au cœur des scandales Pegasus et Predator Files, n’intéresse pas le Conseil.

Pour justifier cette nouvelle forme de surveillance, le gouvernement et ses soutiens ont répété que les services de renseignement seraient déjà autorisés à activer à distance les micros ou caméras de terminaux. Pourtant, la lecture de l’article L. 853-2 du code de la sécurité intérieure montre précisément l’inverse : ne peuvent être mis en œuvre par les services de renseignement que des dispositifs qui permettent d’accéder à des données qui « s’affichent sur un écran », telles qu’une personne les « introduit par saisie de caractère » ou « telles qu’elles sont reçues et émises par des périphériques. » Autrement dit, le droit actuel ne permet aux services de renseignement que d’enregistrer l’activité d’une personne sur un téléphone ou un ordinateur, mais en aucun cas d’activer à son insu une fonctionnalité supplémentaire comme un micro ou une caméra. Cette pratique, pourtant avancée pour justifier le bien-fondé de la mesure, semble donc illégale et doit être sérieusement questionnée.

De façon générale, on assiste à un essor toujours plus important des technologies de surveillance et à une banalisation de leurs usages par les services de police et de renseignement alors que, souvent, elles ne répondent à aucun cadre. Ces pratiques illégales se généralisent aussi bien dans les ministères que sur le terrain, et la licéité de ces outils n’est jamais une préoccupation de ceux qui les utilisent. Qu’il s’agisse de logiciels illégaux de surveillance algorithmique et reconnaissance faciale, de fichage sauvage ou ou encore d’exploitation de téléphone en garde à vue, l’impunité se répand, l’illégalité se banalise. Dans ce contexte et avec ces tendances lourdes, la décision du Conseil constitutionnel est salutaire mais nous apparaît malheureusement trop peu engageante pour y voir un avertissement fort contre la surveillance.

Organisations signataires membres de l’OLN : Globenet, Creis-Terminal, la Ligue des droits de l’Homme (LDH), Le Syndicat des Avocats de France (SAF), le Syndicat de la Magistrature (SM), La Quadrature du Net (LQDN).

Dans un article publié aujourd’hui, le média d’investigation Disclose révèle que depuis des années, en se sachant dans l’illégalité la plus totale, la police nationale a recouru au logiciel de l’entreprise israélienne Briefcam, qui permet d’automatiser l’analyse des images de vidéosurveillance. Cette solution comporte une option « reconnaissance faciale » qui serait, d’après Disclose, « activement utilisée ».

Cela fait désormais près de cinq ans qu’à travers la campagne Technopolice, La Quadrature du Net, en lien avec des collectifs partout dans le pays, documente l’usage illégal de la vidéosurveillance algorithmique (VSA) par les forces de police municipale. De fortes présomptions existaient quant à son utilisation par la police nationale. Nous l’évoquions d’ailleurs dans notre dossier sur la VSA publié lors de la campagne contre la loi sur les jeux olympiques et paralympiques (voir page 20). La confirmation faite aujourd’hui n’en est pas moins choquante. Non seulement compte tenu de l’échelle du déploiement de cette technologie, avec des licences Briefcam couvrant plusieurs départements. Mais aussi en raison des dissimulations dont ce marché public hautement sensible a fait l’objet de la part de hauts fonctionnaires et de responsables politiques.

Il faut se souvenir de Gérald Darmanin qui, l’an dernier en préparation des débats sur l’article 10 de la loi Jeux Olympiques, reconnaissait qu’il n’existait aucune base légale pour l’utilisation policière de ces technologies d’analyse automatisée. L’intelligence artificielle transforme radicalement l’économie politique de la vidéosurveillance, raison pour laquelle nous refusons la VSA. Même dans le cadre d’enquêtes judiciaires, l’État se devrait au minimum de prévoir une base juridique claire pour l’encadrer.

Tout aussi choquant est le sentiment d’impunité généralisé que révèle cette affaire. Les cadres de la Direction Générale de la Police Nationale, de même que les ministres successifs, ont sciemment organisé le secret par peur de la controverse, se sachant hors du droit.

Rappelons-le : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (cf. art. 226-18 et -19 du code pénal). Par ailleurs, tout·e fonctionnaire est tenu·e de signaler sur le champ une infraction dont il ou elle aurait connaissance au procureur (article 40 du code de procédure pénale). Enfin, Disclose explique que pour financer le renouvellement des licences Briefcam, « la hiérarchie policière a pioché dans le « fonds concours drogue » ». Ce qui pourrait s’apparenter à du détournement de fonds publics.

Ces faits sont extrêmement graves. L’impuissance chronique à laquelle se condamnent les contre-pouvoirs institutionnels, de la CNIL à l’IGPN, est elle aussi symptomatique d’une crise systémique de l’État de droit. L’actualité donne d’ailleurs une nouvelle et triste illustration de cette coupable inaction : la CNIL s’est contentée d’un « rappel à l’ordre » à l’encontre de deux ministères après le détournement de fichiers et l’envoi au printemps dernier de 2 millions de messages de propagande destinés à manipuler l’opinion au sujet de la réforme des retraites.

Le 3 octobre prochain s’ouvrira le procès de l’affaire dite du « 8 décembre ». Sept personnes sont accusées d’association de malfaiteurs terroriste. Pour construire le récit du complot terroriste, les services de renseignement de la DGSI chargés de l’enquête judiciaire, le parquet national antiterroriste (PNAT) puis le juge d’instruction instrumentalisent à charge le fait que les inculpé·es utilisaient au quotidien des outils pour protéger leur vie privée et chiffrer leurs communications. Face à cette atteinte inédite, que nous documentions longuement il y a quelques mois, le temps de ce procès va donc être crucial dans la bataille contre les velléités récurrentes de l’État de criminaliser des pratiques numériques banales, sécurisées et saines, pratiques que nous défendons depuis toujours.

« Il reconnaissait devant les enquêteurs utiliser l’application Signal »

Comme le souligne le journal Le Monde qui a consacré un long article au « 8 décembre », cette affaire repose « sur des bases fragiles ». Parmi celles-ci, nous sommes particulièrement inquiets de la place donnée à l’utilisation des outils de chiffrement ou, plus largement, des moyens pour protéger sa vie privée. Un des enjeux de ce procès sera donc de savoir si une telle pratique peut être utilisée à charge par la police et la justice pour étayer la la présomption d’un projet terroriste. Un tel parti pris de la part du juge constituerait un passage de cap extrêmement dangereux, puisque toute forme de confidentialité deviendrait alors suspecte par défaut.

Dans ce dossier, protéger sa vie privée et chiffrer ses communications n’est plus seulement suspect mais devient constitutif d’un « comportement clandestin », un moyen de cacher un projet criminel. À travers différentes notes, la DGSI s’est ainsi affairée à démontrer comment l’utilisation d’outils comme Signal, Tor, Proton, Silence, etc., serait une preuve de la volonté de dissimuler des éléments compromettants. Et en plus de cela, comme nous le dénonçions en juin dernier, la DGSI justifie l’absence de preuves d’un projet terroriste par l’utilisation d’outils de chiffrement : les éléments prouvant une intention terroriste sont nécessairement, selon elle, dans ces fameux messages chiffrés et inaccessibles. Le serpent se mord la queue, ce qui amène les avocats d’un des inculpé·es à dénoncer le fait qu’« ici, l’absence de preuve devient une preuve ».

Plus inquiétant encore, l’enquête de la DGSI est parsemée d’approximations voire d’erreurs techniques, qui seront ensuite reprises par le PNAT puis le juge d’instruction. Ainsi, les enquêteurs confondent Tor et Tails dans certaines pièces du dossier. Le résultat de l’enquête pointe également comme un élément de culpabilité le fait que les inculpé·es chiffrent le contenu de leur téléphone ou de leur ordinateur. Toujours avec beaucoup de confusions techniques, la DGSI reproche ainsi aux personnes en cause d’utiliser LUKS, un outil disponible sous Linux pour chiffrer ses disques, pourtant banal et recommandé pour protéger ses données. Mais, de manière générale, l’ensemble du dossier tend à démontrer que la police et la justice ignorent que le chiffrement par défaut des supports de stockage est mis en place par les principaux développeurs de logiciels. Et ces mêmes autorités oublient que leurs périphériques aussi sont chiffrés (en tout cas nous l’espérons pour elles !).

En somme, il est reproché aux inculpé·es de respecter des règles élémentaires de sécurité informatique. Ce qui est parfois appelé « hygiène numérique »¹Voir par exemple le guide de l’ANSSI sur l’hygiène numérique. devient le symbole d’un prétendu comportement clandestin.

Les États relancent leur guerre contre le chiffrement

Il existe depuis toujours une tension politique autour du chiffrement des communications électroniques, et cela est bien logique puisque le chiffrement est politique par nature. Martin Hellmann, un des chercheurs en mathématiques ayant participé à la conception du chiffrement asymétrique dans les années 1970, justifiait à l’époque sa démarche par sa crainte que « l’utilisation croissante des outils de traitement automatisés représente une réelle menace pour l’économie et la vie privée ». Pour lui, les techniques de chiffrement fiables constituaient une manière d’empêcher le développement de la « surveillance d’un État policier s’appuyant sur l’informatisation » ²Voir la citation de Corrigan-Gibbs, « Keeping Secrets », dans la thèse de Félix Tréguer, « Pouvoir et résistance dans l’espace public : une contre-histoire d’Internet (XVe-XXIe siècle) » accessible sur https://shs.hal.science/tel-01631122. Voir aussi le livre Contre-histoire d’Internet : Du XVe siècle à nos jours, édition revue et actualisée, Agone, 2023.. On le comprend, l’émergence de cette technologie n’est pas le résultat de découvertes scientifiques fortuites mais bien le fruit d’un rapport de force naissant. Et cela explique pourquoi les États ont toujours opposé une résistance à son développement et à son utilisation, une volonté de contrôle trahie par un discours transformant leurs créateur·rices et les utilisateur·rices du chiffrement en criminels potentiels.

En effet, dès la publication des travaux d’Hallman et de ses camarades, le gouvernement des États-Unis a fait pression pour que cette technique reste dans le domaine militaire, afin de pouvoir en maîtriser le développement. Ensuite, dans les années 1990, la démocratisation du chiffrement, notamment via le protocole PGP, donne de nouvelles sueurs froides au gouvernement états-unien qui repart à l’attaque. Ce dernier propose alors de mettre en place des « Clipper Chips », c’est-à-dire l’obligation d’installer une puce contenant une « porte dérobée » dans tout système chiffré, permettant un accès aux données pour les autorités judiciaires et administratives.

Commence alors une « crypto-war » qui oppose l’administration Clinton et les nombreux activistes défendant le droit à la cryptographie. Le gouvernement fédéral se défend en expliquant que « si les technologies cryptographiques sont rendues librement accessibles à l’échelle mondiale, elles seraient sans aucun doute largement utilisées par les terroristes, les trafiquants de drogue et autres criminels qui portent préjudice aux Américains sur le territoire national et à l’étranger. » Mais ce discours de criminalisation échoue et le chiffrement est retiré de la liste des « armes et munitions » en 1996, ouvrant la voie à sa libéralisation. En France, bien que poussée par des militant·es, cette libéralisation du chiffrement n’a eu lieu qu’en 1999, faisant de la France un des derniers États à vouloir garder cette technique sous son contrôle.

Les attaques contre le chiffrement ont refait surface dans les années 2010, à un moment où la population a tout à la fois pris conscience des méga-programmes de surveillance étatiques, vécu des épisodes d’attentats donnant lieu à un climat sécuritaire intense, et pu accéder à des messageries chiffrées grand public. Cette conjoncture a ainsi donné de nouvelles occasions aux différents ministres de l’intérieur (Cazeneuve, Castaner puis Darmanin), députés, ou président pour redonner corps à la criminalisation aussi bien des concepteur·rices des outils fondés sur du chiffrement (pensons par exemple à l’affaire de l’iPhone de San Bernardino qui a mis Apple au centre des critiques) que de ses utilisateur·rices.

La crainte d’un précédent irrémédiable

Avec l’affaire du « 8 décembre », nous assistons donc à une matérialisation de ce discours qui tente de faire croire que le chiffrement des communications serait l’apanage des criminels et terroristes. Sauf qu’il ne s’agit plus d’une déclaration politique opportuniste pour étendre des pouvoirs voulus depuis des décennies. Nous parlons cette fois-ci d’une accusation policière et judiciaire aux conséquences concrètes et graves, qui a participé à mettre des personnes en prison. Nos inquiétudes sont grandes face à la possibilité que les juges puissent adhérer à cette narration criminalisant les outils de protection de la vie privée. Cela créerait un précédent aussi bien juridique que politique, en plus d’avoir des conséquences humaines désastreuses pour les principales personnes concernées. La confidentialité, ici numérique mais qui pourrait s’étendre demain à des pratiques physiques, deviendrait alors une présomption de culpabilité. Se protéger, adopter des mesures de sécurité pour soi et les autres serait alors un motif de poursuites.

Isabela Fernandes, la directrice exécutive du Tor Project nous a fait part de son soutien dans cette bataille à venir. Pour elle, « le chiffrement ne doit pas être compris à tort comme un signe d’intention malveillante mais, doit au contraire être vu comme une composante fondamentale du droit à la vie privée et à la sécurité informatique des personnes. Dès lors que de plus en plus d’aspects de nos vies ont lieu en ligne, le chiffrement est garant de la capacité à protéger sa vie privée et ses droits. »

Elle ajoute : « De nombreux outils préservant la vie privée sont utilisés par les membres de la Commission européenne et des organes d’État. Les gouvernements ont la responsabilité d’assurer le droit à la liberté d’expression et à la vie privée pour toutes et tous afin de protéger un fondement des sociétés démocratiques – plutôt que de promouvoir une interprétation biaisée de qui peut bénéficier de ces droits et qui ne le peut pas. »

C’est bien parce que déduire de l’utilisation d’outils pour protéger sa vie privée et chiffrer ses communications un comportement clandestin vient nourrir un dossier pénal très faible que plus de 130 personnes et organisations ont dénoncé cela dans une tribune parue dans Le Monde. À l’heure où l’État étend ses filets de plus en plus loin, autorise la surveillance à distance des objets connectés , y compris ceux des journalistes sous prétexte de sécurité nationale, assimile les revendications écologiques à du terrorisme pour mieux justifier sa débauche de moyens répressifs et intrusifs, perquisitionne les journalistes qui révèlent des crimes de guerre commis avec la complicité de l’État, veut mettre fin à toute idée d’anonymat en ligne ou à tout secret des correspondances, nous assistons actuellement à un emballement autoritaire terriblement inquiétant.

Ce procès est une énième attaque contre les libertés fondamentales, mais surtout un possible aller sans retour dans le rapport que l’État entretient avec le droit à la vie privée. Alors votre mobilisation est importante ! Rendez-vous demain, 3 octobre, à 12h devant le tribunal de Paris (Porte de Clichy) pour un rassemblement en soutien aux inculpé·es. Puis si vous le pouvez, venez assister aux audiences (qui se tiendront les après-midis du 3 au 27 octobre au tribunal de Paris) afin de montrer, tous les jours, solidarité et résistance face à ces attaques.

Il y a un peu plus d’un an, la Commission européenne proposait l’un des pires textes jamais pensés sur le numérique : le règlement CSAR, également appelé « Chat control ». Affichant l’objectif de lutter contre les abus sexuels sur les enfants, cette proposition vise en réalité à créer un outil inédit de surveillance des communications. Dès le dépôt de ce projet de règlement, partout en Europe, associations et expert·es se sont insurgé·es contre cette initiative car elle reviendrait à mettre fin au chiffrement des communications. Aujourd’hui, bien que les critiques sont aujourd’hui plus nombreuses encore, les discussions avancent rapidement à Bruxelles, laissant présager une adoption très prochaine du texte. Afin de comprendre ses enjeux et aider à renforcer la mobilisation, nous revenons sur le contenu de ce règlement qui pourrait signer la fin de toute confidentialité des échanges en ligne.

La genèse du projet

Le 11 mai 2022, la Commission européenne lâchait une bombe dans le monde du numérique en publiant sa proposition de règlement « établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants ». Dénommé « Chat control » ou « CSAR » (pour « Child sexual abuse regulation »), ce texte vise à obliger les fournisseurs de contenus en ligne à détecter des contenus d’abus sexuels de mineurs en analysant les conversations de leurs utilisateur·ices.

Cette initiative s’inspire d’outils mis en œuvre depuis plusieurs années par les grandes entreprises du web. Meta, par exemple, analyse de façon proactive l’ensemble des messages échangés sur Facebook Messenger ainsi que les données non chiffrées de Whatsapp (photos de profil ou groupe, descriptions, …) en vue de détecter des images connues d’exploitation d’enfants. En 2021, Apple annonçait mettre en place un outil d’analyse des données de ses clients hébergées sur iCloud afin de les comparer à une base de données de contenus signalés comme liés à de la pédopornographie, tout comme Microsoft qui a développé l’outil de comparaison PhotoDNA.

Dès 2020, la Commission avait commencé à laisser présager son appétence pour ce type d’outils dans sa « stratégie de lutte contre les abus sexuels commis contre les enfants » qui a débouché en 2021 sur l’adoption d’un règlement sur le sujet. Celui-ci autorisait, de façon temporaire pendant trois ans, les services de communication électronique à faire de l’analyse de contenus en vue de détecter ceux liés à ce type d’abus. Si cette possibilité était facultative et devait reposer sur leurs conditions générales, une telle inscription formelle dans la loi légitimait néanmoins les initiatives et techniques de surveillance des grandes plateformes, renforçant par là même leur pouvoir hégémonique, sans qu’aucune évaluation de la pertinence de ces méthodes ne soit par ailleurs réalisée.

Cette autorisation prend fin en 2024 et c’est pour cette raison que le CSAR a été proposé. Mais contrairement au règlement temporaire qui ne faisait que l’autoriser, ce projet de règlement impose de façon obligatoire la détection de ces contenus pédopornographiques sous certaines conditions, mettant donc fin à toute forme de confidentialité. Depuis le début des discussions il y a un an et demi, le réseau européen EDRi, dont La Quadrature du Net fait partie, a fourni un travail d’analyse considérable sur ce texte, que vous pouvez retrouver dans leur « position paper » ou, de façon plus condensée, dans leur brochure (en anglais). Nous vous résumons ici les principaux enjeux autour de ce règlement.

Le contenu du règlement

Le règlement CSAR vise à s’appliquer à un nombre très important d’acteurs. Entrent ainsi dans le champ d’application tous les « fournisseurs de services de communications interpersonnelles », c’est-à-dire les messageries en ligne telles que Signal, Whatsapp ou Telegram, les fournisseurs de mail, les applications de rencontre mais également les messageries qui ne sont qu’une fonction accessoire à d’autres services, comme dans les jeux par exemple. Rentrent également dans le champ d’application les « fournisseurs de services d’hébergement » tels que NextCloud, iCloud, DropBox ou les hébergeurs associatifs des CHATONS, les boutiques d’applications ainsi que les réseaux sociaux.

Ces fournisseurs seraient contraints à mettre en œuvre une surveillance considérable de leurs utilisateur·ices. D’une part, les articles 3 et 4 prévoient qu’ils obéissent à une obligation d’évaluer et réduire au maximum les risques de partage de contenus pédopornographiques sur les services concernés. Cela impliquerait de fournir, via une étude d’impact, des éléments sur le fonctionnement et l’usage de leur outil afin de théoriquement anticiper les risques pour identifier les mesures d’atténuation correspondantes. Les fournisseurs devraient ainsi être en capacité de donner des informations sur quel type d’utilisateur·rice (personne majeure, mineure..) utilisent leur service et quel type de contenu (vidéo, texte..) y sont échangés. Cette obligation est pourtant incompatible avec un des principes de base de respect de la vie privée sur lesquels repose le fonctionnement de nombreux services : l’absence de collecte de ce type de données personnelles. Ces prestataires seraient alors dans une position intenable car, pour se conformer à cette nouvelle réglementation, ils devront changer de modèle et commencer à recueillir des informations qu’aujourd’hui ils ne possèdent pas. Le règlement CSAR reviendrait pour eux à abandonner leur promesse de confidentialité, garantie notamment par le recours au chiffrement et l’anonymisation de données.

En outre, l’article 6 du CSAR préconise que les fournisseurs aient recours à des solutions de vérification d’âge pour remplir cet objectif de réduction des risques. Or, non seulement aucun outil viable et respectueux de la vie privée n’existe réellement à ce jour mais, surtout, le recours à ce genre de solution pose de sérieux problèmes quant à la protection de l’anonymat en ligne, comme nous le rappelions récemment dans notre analyse de la loi française SREN. Au final, le texte pousse pour privilégier la mise en place de mesures coercitives et remet frontalement en cause le droit à la vie privée.

D’autre part, ces acteurs auront l’obligation de répondre à toute « injonction de détection » émise par un juge ou une autorité administrative. Ainsi, les articles 7 à 11 prévoient que, s’il existe « un risque important que le service soit utilisé à des fins d’abus sexuels sur enfants en ligne », les fournisseurs pourront se voir obligés d’installer au cœur même de leur application ou infrastructure des outils leur permettant de scanner les données qui y transitent, afin d’y détecter de potentiels contenus liés aux abus sexuels d’enfants.

Plus précisément les fournisseurs devront repérer trois types de données :

• Des contenus « connus » c’est-à-dire des images ou des vidéos déjà répertoriées par les autorités comme liées à de la pédopornographie ou des abus sexuels d’enfants.
• Des contenus « inconnus » c’est-à-dire des photos ou vidéos susceptibles de constituer de la pédopornographie, mais qui n’auraient pas été identifiées comme telles. Pour trouver ces contenus, les services devront utiliser des outils fondés sur de l’intelligence artificielle qui identifieront des corrélations entre les contenus partagés et des indicateurs prédéfinis (par exemple de la peau nue).
• Des activités consistant à solliciter des enfants (appelé « pédopiégeage »). Il s’agit de détecter des comportements « types » de personnes qui rentrent en contact avec des enfants, à nouveau à partir de modèles statistiques et probabilistes fondés sur de l’intelligence artificielle.

Concrètement, il s’agira de mettre en œuvre une technique de « client side scanning » (littéralement « analyse côté client »), c’est-à-dire analyser directement sur les appareils des utilisateur·ices les données qui y transitent. Lorsqu’un internaute enverra un message ou postera une publication via un des services concernés par une injonction, ce contenu sera analysé avant envoi. Plus précisément, ce sont des « hash », c’est-à-dire des empreintes numériques liées aux images, qui seront examinées. Ce hash sera alors comparé à une base de données déjà constituée de contenus relatifs à des abus sexuels d’enfants. Si le hash correspond avec une photo de la base, une alerte est déclenchée. Dans le cas contraire, cela signifie que le contenu doit être qualifié d’« inconnu » et un outil d’analyse supplémentaire vérifiera alors s’il existe des corrélations ou similitudes avec des contenus d’abus sexuels pour déclencher une alerte le cas échéant.

Le cheval de Troie de la Commission : vers la fin du chiffrement

En affichant l’objectif de protéger les enfants, l’Union européenne tente en réalité d’introduire une capacité de contrôle gigantesque de l’ensemble des vies numériques, concrétisant le rêve de surveillance de tout gouvernement. Ce texte a fait l’objet de tant de réactions qu’EDRi se demande si le CSAR ne serait pas la loi européenne la plus critiquée de tous les temps. Les critiques contre ce texte viennent des institutions européennes elles-mêmes, mais aussi d’organisations de défense des enfants en passant par les acteurs de la tech, ainsi que de scientifiques et chercheur·es où 465 d’entre eux ont signé une lettre contre cette proposition. Et à raison.

Sur le plan technique, il faut comprendre que les injonctions de détections obligent les fournisseurs à analyser toutes les communications de l’ensemble des utilisateur·ices des services concernés. Et puisque les messages sont alors analysés avant d’être envoyés à leurs destinataires, cela supprime non seulement toute confidentialité mais cela rendra également inutile toute technique de chiffrement appliquée ultérieurement, c’est-à-dire une fois que le message à quitté l’appareil de l’utilisateur·ice. L’objectif premier du chiffrement est d’empêcher un tiers de lire le message. Le CSAR vise pourtant précisément à permettre une telle lecture tierce. De même, la recherche de photo ou vidéo « inconnue » est totalement inacceptable. En pratique, le risque de « faux positifs » est énorme et cela signifie que pourraient faire l’objet d’une alerte des contenus tout à fait légitimes tels le corps d’adulte d’apparence trop juvénile, une photo d’enfant envoyée dans un cadre familial ou encore des ados échangeant de façon consentante.

Enfin, appliqué au cas particulier de la détection de contenus pédopornographiques, envisager la constitution et l’utilisation d’une telle base de données ne prend pas en compte la réalité des humains devant la manipuler, l’alimenter, et qui seront confrontés à des contenus difficiles quotidiennement. Sans parler du fait que les images des enfants victimes seront conservées pour « améliorer » l’efficacité de ces outils.

Non seulement le CSAR crée des obligations disproportionnées et implique des techniques extrêmement intrusives, mais surtout ces mesures sont loin d’être pertinentes pour atteindre l’objectif crucial de protection des enfants et de lutte contre les abus sexuels. En effet, aucune étude sérieuse n’a été fournie sur l’adéquation, la fiabilité ou la pertinence de telles mesures extrêmement intrusives. Au contraire, il a été révélé par l’association allemande Gesellschaft für Freiheitsrechte que la Commission fondait sa proposition sur les seules allégations de l’industrie, particulièrement la fondation Thorn et Meta, pour justifier ce projet de règlement. Des institutions policières et judiciaires, comme en Allemagne par exemple, ont elles aussi exprimé leurs réserves sur l’utilité de ces dispositifs pour leurs enquêtes dès lors que cela ne répond pas aux problématiques qu’ils rencontrent au quotidien.

Par ailleurs, depuis le début de la campagne contre ce texte, beaucoup de ressources ont été produites pour démontrer que la protection des enfants contre les abus passait principalement par des politiques de prévention ou d’éducation et que toute éventuelle réponse pénale devait être encadrée par des mesures ciblées et fondées sur des preuves tangibles. Comment a-t-on pu alors en arriver là ?

La tentation autoritaire des États

Cette proposition législative est une solution largement conçue par l’industrie, et ensuite généralisée par les élites politiques qui illustrent ainsi une nouvelle fois leur absurde propension au « solutionnisme technologique » et au renforcement de la surveillance numérique. Pour rendre acceptable ces mesures de surveillance, elles affichent un objectif qui fait l’unanimité. Mais tout le monde sait que la stratégie consiste avant tout à affaiblir le niveau de sécurité et de confidentialité des communications numériques. Depuis les crypto-wars des années 1990, un certain nombre d’États affirment que les technologies protégeant la vie privée, et principalement le chiffrement des communications, sont un obstacle aux enquêtes policières. De fait, ces technologies sont conçues pour cela, puisque c’est à cette condition qu’elle garantissent à toutes et tous la possibilité de contrôler nos modes d’expression et de communication. L’une des plus importantes conséquences des révélations du lanceur d’alerte de la NSA Edward Snowden, il y a dix ans, fut justement une démocratisation de la pratique du chiffrement et, à l’époque, l’établissement d’un relatif consensus en faveur du droit au chiffrement au plan institutionnel. Mais police et gouvernements sont gênés, et l’on assiste depuis plusieurs années au retour de positionnements autoritaires de dirigeants prenant tour à tour l’excuse du terrorisme, de la criminalité organisée et de la pédopornographie pour obtenir sa remise en cause.

En France, aussi bien Bernard Cazeneuve qu’Emmanuel Macron ont déjà affirmé leur volonté de contrôler les messageries chiffrées, rêvant ainsi de percer l’intimité des millions de personnes qui les utilisent. Au cours d’une audition devant le Sénat le 5 avril dernier, Gérald Darmanin a expressément demandé pouvoir casser le chiffrement des militant·es écologistes et de « l’ultragauche », qui auraient une « culture du clandestin ». Aussi avons-nous récemment exposé comment, dans l’affaire dite du « 8 décembre », les services de renseignement et de police ont construit une narration similaire autour de l’utilisation d’outils respectueux de la vie privée par les personnes inculpées (Signal, Tor, Tails…), afin de dessiner le portrait de personnes criminelles ayant des choses à cacher ou la volonté de fuir la police. Au niveau européen, des fuites ont révélé l’intention de plusieurs États de réduire le niveau de sécurité du chiffrement de bout-en-bout, tels que l’Espagne qui veut tout simplement y mettre fin.

Le règlement CSAR s’inscrit dans cette continuité et constitue une opportunité parfaite pour les États membres pour enfin concevoir et généraliser un outil de surveillance des échanges de la population et ainsi mettre fin aux obstacles posés par les services trop protecteurs de la vie privée. Mais passer ce cap, c’est supprimer toute confidentialité des communications qui passeraient par des infrastructures numériques. L’intégrité et la sécurité de ces dernières ne pourraient alors plus jamais être garanties dès lors que cette « porte dérobée » existe. C’est créer des occasions, aussi bien pour les États que les acteurs malveillants, de détourner et d’abuser de cette capacité d’entrer dans les téléphones et ordinateurs de la population. Enfin, c’est ouvrir une brèche, un espace à surveiller qui n’existait pas auparavant, et qui sera nécessairement étendu dans le futur par de nouvelles législations pour repérer d’autres types de contenus.

Ce risque est dénoncé par des services tels que Signal, Proton ou Matrix, qui proposent des communications chiffrées de bout-en-bout et sécurisées — et promettent donc une confidentialité presque intégrale. Cette proposition viendrait casser leur promesse en les obligeant à analyser les contenus et à créer une vulnérabilité dans leurs technologies. Ce risque a également été récemment dénoncé par Apple : pour justifier la fin de l’analyse des contenus hébergés sur iCloud, l’entreprise expliquait que la technologie utilisée est trop dangereuse en termes de sécurité et de respect de la vie privée¹Néanmoins, il faut relativiser cette prise de position dès lors que la firme continue d’expérimenter une technologie similaire dans une fonction facultative dénommée « Communication Safety » qui recherche de la nudité directement sur les terminaux..

En Grande-Bretagne, où est actuellement discuté un projet de loi similaire, le Online Safety Bill, Signal et Whatsapp ont menacé de supprimer leur service du pays si ce texte venait à passer. Face à cette fronde, les Britanniques ont très récemment annoncé suspendre la mise en œuvre de cette mesure au regard de l’infaisabilité à ce stade de protéger le chiffrement de bout-en-bout. Cependant, la mesure est toujours dans la loi et pourrait donc être applicable un jour. À Londres comme à Bruxelles, la bataille est loin d’être finie.

Refuser et agir

Il est donc urgent d’agir pour arrêter cette nouvelle initiative qui créerait un grave précédent et donnerait aux États une légitimité pour pousser toujours plus loin l’intrusion dans les communications. Mais les discussions avancent vite à Bruxelles. D’un coté, le Conseil, organe regroupant les gouvernements des États membres, doit publier sa position sur ce texte d’ici fin septembre. Celle-ci s’annonce très mauvaise, poussée par plusieurs États – France en tête. Certains États comme l’Allemagne ou l’Autriche auraient néanmoins exprimé des réserves quand à l’incompatibilité de cette dernière version par rapport à leur propre position officielle. Une lettre ouverte a été signée le 13 septembre par plus de 80 organisations, dont La Quadrature, pour que les États membres n’adoptent pas le CSAR dans sa version actuelle.

De l’autre coté, le Parlement européen devra également adopter sa version du texte, d’abord en commission en octobre puis en novembre en séance plénière. Si beaucoup d’eurodéputé·es s’opposent au texte, cela ne suffira sans doute pas à bloquer son adoption. Pour agir, nous vous invitons à rejoindre la campagne « Stop Scanning me » menée par une coalition d’organisations et à partager le plus possible les informations sur la mobilisation en cours²Aussi, vous pouvez regarder cette conférence faite au dernier Chaos Communication Camp sur le combat contre Chat control (en anglais).. Vous pouvez également appeler des parlementaires européens pour les inviter à rejeter ce texte.

Et si vous le pouvez n’hésitez pas à faire un don à La Quadrature ou à EDRi qui agit à Bruxelles. Merci !

Les révoltes qu’ont connues de nombreuses villes de France en réaction à la mort de Nahel ont entraîné une réponse sécuritaire et autoritaire de l’État. Ces évènements ont également réactivé une vieille antienne : tout cela serait dû au numérique et aux réseaux sociaux. On aimerait railler cette rhétorique ridicule si seulement elle n’avait pas pour origine une manœuvre politique de diversion et pour conséquence l’extension toujours plus dangereuse de la censure et du contrôle de l’information.

« C’est la faute aux réseaux sociaux »

Aux premiers jours des révoltes, Emmanuel Macron a donné le ton en annonçant, à la sortie d’une réunion de crise, que « les plateformes et les réseaux sociaux jouent un rôle considérable dans les mouvements des derniers jours ». Aucune mention des maux sociaux et structurels dans les quartiers populaires depuis plusieurs décennies, rien sur l’écœurement d’une population vis-à-vis des violences policières. Non, pour le président, c’est Snapchat, TikTok et les autres réseaux sociaux qui participeraient à « l’organisation de rassemblements violents » et à une « forme de mimétisme de la violence » qui conduirait alors à « une forme de sortie du réel ». Selon lui, certains jeunes « vivent dans la rue les jeux vidéo qui les ont intoxiqués ». Il est vrai que nous n’avions pas vu venir cette sortie d’un autre temps sur les jeux vidéos, tant elle a déjà largement été analysée et démentie par de nombreuses études.

Mais si le jeu vidéo a vite été laissé de côté, les critiques ont toutefois continué de se cristalliser autour des réseaux sociaux, à droite comme à gauche. Benoît Payan, maire de Marseille, a ainsi expliqué que les réseaux sociaux « sont hors contrôle et ils permettent à des bandes organisées qui font n’importe quoi d’être extrêmement mobiles, de se donner des rendez-vous ». Éric Dupond-Moretti, ministre de la Justice, s’est quant à lui taillé un rôle paternaliste et moralisateur, dépolitisant les évènements et essentialisant une jeunesse qui aurait l’outrecuidance d’utiliser des moyens de communication. Selon lui, « les jeunes » utilisent les réseaux sociaux et se « réfugient derrière leurs téléphone portable », se pensant « comme ça en toute liberté dans la possibilité d’écrire ce qu’ils veulent ». Car pour Dupond-Moretti, le jeune doit « rester chez lui » et les parents doivent « tenir leurs gosses ». Et si le jeune veut quand même « balancer des trucs sur Snapchat », alors attention, « on va péter les comptes ».

En substance, il menace d’identifier les personnes qui auraient publié des vidéos de violences pour les retrouver, quand bien même ces contenus seraient totalement licites. À l’image d’un surveillant courant avec un bâton après des enfants, dépassé par la situation, le ministre de la Justice se raccroche à la seule branche qui lui est accessible pour affirmer son autorité. Les récits de comparution immédiate ont d’ailleurs démontré par la suite la violence de la réponse judiciaire, volontairement ferme et expéditive, confirmant la détermination à prouver son ascendant sur la situation.

Le clou du spectacle a été prononcé par Emmanuel Macron lui-même le 4 juillet, devant plus de 200 maires, lorsqu’il a évoqué l’idée de « réguler ou couper » les réseaux sociaux puisque « quand ça devient un instrument de rassemblement ou pour essayer de tuer, c’est un vrai sujet ». Même avis chez Fabien Roussel « quand c’est chaud dans le pays », car celui-ci préfère « l’état d’urgence sur les réseaux sociaux que sur les populations ». Pour rappel, couper Internet à sa population est plutôt apprécié par les régimes autoritaires. En 2023, l’ONG Access Now a recensé que ce type de mesure avait été utilisé en Inde, Birmanie, Iran, Pakistan, Éthiopie, Russie, Jordanie, Brésil, Chine, Cuba, Irak, Guinée et Mauritanie.

Quelques semaines plus tard, le président annonçait le projet : restaurer un « ordre public numérique », ranimant la vieille idée sarkoziste qu’Internet serait une « zone de non-droit ».

La censure au service de l’ordre

L’ensemble de ces réactions révèle plusieurs des objectifs du gouvernement. D’abord, il attaque les moyens de communication, c’est-à-dire les vecteurs, les diffuseurs, les tremplins d’une expression populaire. Ce réflexe autoritaire est fondé sur une erreur d’appréciation majeure de la situation. Comme avec Internet à sa création, l’État semble agacé que des moyens techniques en perpétuelle évolution et lui échappant permettent aux citoyens de s’exprimer et s’organiser.

Depuis sa création, La Quadrature l’observe et le documente : le réflexe du blocage, de la censure, de la surveillance traduit en creux une incapacité à comprendre les mécanismes technologiques de communication mais surtout révèle la volonté de limiter la liberté d’expression. En démocratie, seul un juge a l’autorité et la légitimité pour décider si un propos ou une image enfreint la loi. Seule l’autorité judiciaire peut décider de retirer un discours de la sphère publique par la censure.

Or, sur Internet, cette censure est déléguée à des entités privées dans un cadre extra-judiciaire, à rebours de cette protection historique. L’expression et l’information des utilisateur·rices se heurtent depuis des années aux choix de plateformes privées auto-désignées comme entités régulatrices du discours public. Ce mécanisme de contrôle des moyens d’expression tend en effet à faire disparaître les contenus militants, radicaux ou alternatifs et à invisibiliser l’expression de communautés minoritaires. Alors que ce modèle pose de sérieuses questions quant à la liberté d’expression dans l’espace démocratique, c’est pourtant bien sur celui-ci que le gouvernement compte pour faire tomber les vidéos de violences et de révoltes.

Ensuite, cette séquence démontre l’absence de volonté ou l’incompétence de l’État à se confronter aux problématiques complexes et anciennes des quartiers populaires et à apporter une réponse politique et sociale à un problème qui est uniquement… politique et social. L’analyse des évènements dans les banlieues est complexe, difficile et mérite qu’on se penche sur de multiples facteurs tels que le précédent de 2005, l’histoire coloniale française, le rapport des habitant·es avec la police ou encore le racisme et les enjeux de politique de la ville. Mais ici, le gouvernement convoque les réseaux sociaux pour contourner la situation. Comme à chaque crise, la technologie devient alors le usual suspect préféré des dirigeants : elle est facile à blâmer mais aussi à maîtriser. Elle apparaît ainsi comme une solution magique à tout type de problème.

Rappelons-nous par exemple de l’application TousAntiCovid, promue comme l’incarnation du progrès ultime et salvateur face à la crise sanitaire alors qu’il s’agissait uniquement d’un outil de surveillance inefficace. La suite a montré que seules des mesures sanitaires étaient de toute évidence à même de résorber une épidémie. Plus récemment, cette manœuvre a été utilisée pour les Jeux Olympiques, moment exceptionnel par ses aspects logistiques, économiques et sociaux mais où la réponse politique apportée a été de légaliser un degré supplémentaire de surveillance grâce à la technologie, la vidéosurveillance algorithmique.

Ici, le gouvernement se sert de ces deux phénomènes pour arriver à ses fins. Désigner les réseaux sociaux comme le coupable idéal lui permet non seulement de détourner l’opinion publique des problématiques de racisme, de pauvreté ou de politique des quartiers mais également de profiter de cette séquence « d’exception » pour asseoir sa volonté de contrôle d’Internet et des réseaux sociaux. Ainsi, les ministres de l’Intérieur et du Numérique ont convoqué le 30 juin les représentants de TikTok, Snapchat, Twitter et Meta pour leur mettre une « pression maximale », selon les mots du ministre du Numérique Jean-Noël Barrot, et renforcer ainsi la main mise et l’influence politique sur ces infrastructures de communication.

Une collaboration État-plateformes à son paroxysme

Comment le gouvernement peut-il alors faire pour réellement mettre les réseaux sociaux, des entreprises privées puissantes, sous sa coupe ? Juridiquement, il dispose de leviers pour demander lui-même le retrait de contenus aux plateformes. Certes cette censure administrative est en théorie aujourd’hui réservée à la pédopornographie et à l’apologie du terrorisme, mais cette dernière, notion vague et indéfinie juridiquement, a notamment permis d’exiger le blocage du site collaboratif et militant Indymedia ou de faire retirer une caricature de Macron grimé en Pinochet. Ces pouvoirs ont d’ailleurs été récemment augmentés par l’entrée en vigueur du règlement « TERREG », qui permet à la police d’exiger le retrait en une heure d’un contenu qualifié par elle de « terroriste ». Cependant, il ne semble pas que le gouvernement ait utilisé ces dispositions pour exiger le retrait des vidéos de révoltes. D’ailleurs, et peut-être plus grave, il n’en a probablement pas eu besoin.

Conscient des limites juridiques de son pouvoir, l’État peut en effet miser sur la coopération des plateformes. Comme nous l’avons évoqué, celles-ci ont le contrôle sur l’expression de leurs utilisateur·ices et sont en mesure de retirer des vidéos de révoltes et d’émeutes quand bien même ces dernières n’auraient absolument rien d’illégal, simplement en invoquant leurs larges pouvoirs issus des conditions générales d’utilisation.

D’un côté, les autorités peuvent compter sur le zèle de ces réseaux sociaux qui, après avoir longtemps été accusés de mauvais élèves et promoteurs de la haine en ligne, sont enclins à se racheter une image et apparaître comme de bons soldats républicains, n’hésitant pas à en faire plus que ce que demande la loi. Twitter par exemple, qui a pendant longtemps résisté et ignoré les demandes des autorités, a drastiquement changé sa discipline depuis l’arrivée d’Elon Musk. Selon le media Rest of World qui a analysé les données du réseau, Twitter ne refuse quasiment plus aucune injonction de blocage ou réquisition de données d’identification provenant des différents États dans le monde.

Concernant les récents évènements en France, le ministre Barrot a ainsi confirmé que les « demandes » du gouvernement avaient été « entendues ». Le Commandement de la Gendarmerie dans le cyberespace exposait fièrement que 512 demandes de retrait avaient été adressées aux modérateurs de réseaux sociaux, quand Olivier Veran annonçait quant à lui que « ce sont plusieurs milliers de contenus illicites qui ont été retirés, plusieurs centaines de comptes qui ont été supprimés, plusieurs dizaines de réquisitions auxquelles les plateformes ont répondu ».

Et en effet, Snapchat ne se cachait pas d’avoir fait plus que le nécessaire. Un porte-parole affirmait à l’AFP faire de la « détection proactive » notamment sur la carte interactive qui permet de retrouver des contenus en fonction des lieux et « et plus particulièrement le contenu lié aux émeutes » qui serait supprimé s’il « enfreint [leurs] directives ». La responsable des affaires publiques de l’entreprise assumait quant à elle devant l’Assemblée nationale avoir travaillé avec le ministère de l’Intérieur pour filtrer les contenus et ne laisser en ligne que ceux mettant en scène des personnes se plaignant des violences. Les représentants de Tiktok ont pour leur part annoncé : « Nous menons une modération automatique des contenus illicites, renforcée par des modérateurs humains. En raison de la nécessité urgente en France, nous avons renforcé nos efforts de modération ».

De l’autre côté, si les réseaux sociaux refusent de se plier à ce jeu diplomatique, alors le gouvernement peut menacer de durcir leurs obligations légales. Aujourd’hui, les réseaux sociaux et hébergeurs bénéficient d’un principe européen d’irresponsabilité, créé dans les années 2000 et reposant en France sur l’article 6 de la loi pour la confiance dans l’économie numérique (LCEN). Ils ne sont responsables de contenus que s’ils ont connaissance de leur caractère illicite et ne les ont pas retiré « promptement ». Mais alors que les soirées d’émeutes étaient toujours en cours dans les villes de France, le sénateur Patrick Chaize profitait de l’examen du projet de loi Espace Numérique pour proposer un amendement qui voulait modifier ce régime général et imposer aux plateformes le retrait en deux heures des contenus « incitant manifestement à la violence ».

Si cet amendement a finalement été retiré, ce n’était pas en raison de désaccords de fond. En effet, Jean-Noël Barrot a, dans la foulé de ce retrait, annoncé le lancement d’un « groupe de travail » interparlementaire pour réfléchir à une « évolution législative » de l’encadrement des réseaux sociaux. Sont envisagées pour l’instant des restrictions temporaires de fonctionnalités telles que la géolocalisation, des mesures de modération renforcées ou encore la levée de l’anonymat, éternelle marotte des parlementaires. Demande constante de la droite française depuis de nombreuses années, cette volonté de lier identité virtuelle et identité civile est cette fois-ci défendue par le député Renaissance Paul Midy. De quoi agiter le chiffon rouge de futures sanctions auprès de plateformes qui rechigneraient à en faire suffisamment.

L’impasse de la censure

Déjà voté au Sénat, le projet de loi « Espace Numérique » devrait être discuté à la rentrée à l’Assemblée. Outre plusieurs dispositions problématiques sur lesquelles nous reviendrons très prochainement, ce texte a comme objet initial de faire entrer dans le droit français le Digital Services Act (ou DSA). Ce règlement européen adopté en 2022 est censé renouveler le cadre juridique des acteurs de l’expression en ligne.

Contrairement à ce qu’affirmait avec aplomb Thierry Breton, commissaire européen en charge notamment du numérique, ce texte ne permettra en aucun cas d’« effacer dans l’instant » les vidéos de révoltes ni d’interdire d’exploitation les plateformes qui n’exécuteraient pas ces injonctions. Non, ce texte donne principalement des obligations ex ante aux très grosses plateformes, c’est-à-dire leur imposent des efforts sur leur fonctionnement général (transparence des algorithmes, coopération dans la modération avec des tiers certifiés, audits…) pour prévenir les risques systémiques liés à leur taille et leur influence sur la démocratie. M. Breton est ainsi prêt à tout pour faire le SAV du règlement qu’il a fait adopter l’année dernière, quitte à dire des choses fausses, faisant ainsi réagir plus de soixante associations sur ces propos, puis à rétropédaler en catastrophe en voyant le tollé que cette sortie a déclenché.

Cependant, si ce texte ne permet pas la censure immédiate rêvée par le commissaire européen français, il poursuit bien la dynamique existante de confier les clés de la liberté d’expression aux plateformes privées, quitte à les encadrer mollement. Le DSA légitime les logiques de censure extra-judiciaire, renforçant ainsi l’hégémonie des grandes plateformes qui ont développé des outils de reconnaissance et de censure automatisés de contenus.

Des contenus terroristes aux vidéos protégées par le droit d’auteur en passant par les opinions radicales, c’est tout un arsenal juridique européen qui existe aujourd’hui pour fonder la censure sur internet. En pratique, elle permet surtout de donner aux États qui façonnent ces législations des outils de contrôle de l’expression en ligne. On le voit en ce moment avec les vidéos d’émeutes, ces règles sont mobilisées pour contenir et maîtriser les contestations politiques ou problématiques. Le contrôle des moyens d’expression finit toujours aux mains de projets sécuritaires et anti-démocratiques. Face à ce triste constat, de la même manière que l’on se protège en manifestation ou dans nos échanges militants, il est nécessaire de repenser les pratiques numériques, afin de se protéger soi-même et les autres face au risque de détournement de nos publications à des fins répressives (suppression d’images, de vidéos ou de messages, flouter les visages…).

Enfin, cette obsession de la censure empêche surtout de se confronter aux véritables enjeux de liberté d’expression, qui se logent dans les modèles économiques et techniques de ces plateformes. À travers leurs algorithmes pensés pour des logiques financières, ces mécanismes favorisent la diffusion de publications violentes, discriminatoires ou complotistes, créant un tremplin rêvé pour l’extrême droite. Avec la régulation des plateformes à l’européenne qui ne passe pas par le questionnement de leur place prépondérante, celles-ci voient leur rôle et leur influence renforcé·es dans la société. Le modèle économique des réseaux sociaux commerciaux, qui repose sur la violation de la vie privée et la monétisation de contenus problématiques, n’est en effet jamais empêché, tout juste encadré.

Nous espérons que les débats autour du projet de loi Espace Numérique seront enfin l’occasion de discuter de modèles alternatifs et de penser la décentralisation comme véritable solution de la régulation de l’expression en ligne. Cet idéal n’est pas utopique mais existe bel et bien et grandit de jour en jour dans un écosystème fondé sur l’interopérabilité d’acteurs décentralisés, refusant les logiques de concentration des pouvoirs de censure et souhaitant remettre les utilisateurs au cœur des moyens de communications qu’ils utilisent.

La semaine dernière, l’Assemblée nationale a adopté le projet de loi d’orientation et de programmation du ministère de la justice pour les années 2023-2027. Parmi de multiples dispositions, ce texte prévoit l’introduction dans le droit français la possibilité pour la police d’activer des appareils et objets électroniques à distance, que ce soit les fonctionnalités de géolocalisation, des micros ou des caméras.

Nous vous en parlions il y a quelques semaines, après avoir fait un tour au Sénat, le voila désormais voté par l’Assemblée. Ce projet de surveillance, défendu par le gouvernement comme une simple « évolution technologique » des mesures d’enquête, modifie en réalité profondément la nature même d’objets du quotidien pour accéder à l’intimité des personnes. Il transforme des appareils supposées passifs et contrôlés par leurs propriétaires en des auxiliaires de justice pour s’immiscer dans tous les recoins de nos espaces privés. Alors que la police était jusqu’à présent tenue d’une démarche active et matériellement contraignante pour surveiller quelqu’un, ces dispositions du projet de loi sur la justice permettront de transformer un objet tel qu’un smartphone en dispositif de surveillance, en le compromettant.

Sans trop de surprise, les discussions à l’Assemblée n’ont apporté que peu de changement. Pour l’activation à distance des appareils électroniques à des fins de géolocalisation, permettant d’obtenir l’emplacement de leurs propriétaires, les députés de la majorité – réunis avec la droite et l’extrême droite – ont ramené le texte à sa version initiale. Ainsi, cette mesure pourra être mise en œuvre sur des personnes poursuivies pour des délits et crimes punis de 5 ans d’emprisonnement seulement, alors que les sénateurs avaient rehaussé ce seuil à 10 ans. Pour l’activation du micro et de la caméra des objets connectés permettant de filmer ou d’écouter tout ce qui se passe à leurs alentours, aucune modification substantielle n’est à noter. Prévue pour la criminalité et la délinquance organisées, l’application future de cette technique extrêmement intrusive nous fait craindre le pire. Actuellement déjà, un grand nombre d’actions peuvent tomber dans le champ de la délinquance et la « criminalité organisée », comme par exemple la « dégradation en bande organisée » pour laquelle sont poursuivies les militant·es écologistes arrêtées pour avoir participé à l’action contre l’usine Lafarge.

Mais surtout, il est très probable que cette technique de compromission des appareils s’étende ou se banalise d’ici à quelques années. La dernière décennie, qui a bouleversé en profondeur la réglementation pénale et antiterroriste, démontre par l’exemple quel pourrait être le chemin d’une telle généralisation. En effet, les techniques spéciales d’enquête, particulièrement intrusives, étaient historiquement réservées aux enquêtes et affaires les plus graves, données au seul juge d’instruction. Ce n’est que depuis la réforme pénale de 2016 que ces possibilités ont été élargies aux officiers de police judiciaire et aux procureurs dans le cadre d’enquête de flagrance et préliminaire. Avec cette loi, le procureur pouvait alors ordonner des écoutes téléphoniques, des sonorisations de lieux, des poses de balise GPS, de la vidéosurveillance, des captations de données informatiques ou des perquisitions de nuit.

Cette extension était fortement critiquée au regard des pouvoirs inédits donnés au parquet, hiérarchiquement dépendant de l’exécutif. Le journal « Le Monde » parlait à l’époque de « la loi antiterroriste la plus sévère d’Europe » et s’inquiétait, comme nous aujourd’hui, du « glissement régulier des méthodes du renseignement vers l’antiterrorisme, celles de l’antiterrorisme vers le crime organisé, celles du crime organisé vers la délinquance ordinaire » et de conclure « les procédures d’exception finissent par dissoudre le principe même d’un droit commun ».

Ces prédictions se sont révélées exactes puisque dès 2018, le gouvernement a voulu élargir ces possibilités fraîchement données au procureur à l’ensemble des crimes dans le cadre d’une enquête en flagrance ou d’une enquête préliminaire, et non plus à la seule délinquance et à la criminalité en bande organisée. On ne pourrait donner meilleur exemple de fuite en avant sécuritaire, révélant la volonté de s’arroger toujours plus de pouvoirs dont on pouvait pourtant se passer auparavant. Néanmoins, les gardes fous institutionnels ont plutôt fonctionné à ce moment là : le Conseil constitutionnel a censuré cet appétit grandissant de prérogatives de surveillance. Celui-ci a ainsi estimé que la mesure était excessive et que le juge des libertés et de la détention (JLD), désigné pour autoriser et contrôler ces techniques, ne constituait pas une garantie suffisante. Pour le Conseil, puisque le JLD n’a pas accès à l’ensemble des procès-verbaux de l’enquête ni au déroulé des investigations, cela l’empêche d’assurer un contrôle satisfaisant de la nécessité et la proportionnalité des mesures de surveillance. Pourtant, alors que ces limites sont connues, c’est ce même JLD qui a été choisi dans le PJL Justice 2023-2027 pour contrôler les nouvelles techniques d’activation à distance des objets connectés (hors information judiciaire).

Toutefois, rien ne permet de croire à un coup d’arrêt similaire contre ces nouvelles mesures. À l’heure où l’antiterrorisme est mobilisé pour réprimer des militant·es politiques, ce renforcement des pouvoirs policiers ne fait que souligner les dérives autoritaires du gouvernement. Cette volonté de faire tomber les barrières qui empêchent l’État d’accéder à l’intimité des citoyens rejoint aussi l’offensive actuelle contre le chiffrement des conversations, que nous avons documentée à travers l’instruction de l’affaire dite du « 8 décembre ».

Le projet de loi sera prochainement transmis à une commission mixte paritaire qui tranchera les derniers arbitrages. Les équilibres politiques actuels font qu’il n’y a quasiment aucune chance que les parlementaires reculent et fassent retirer ces mesures de surveillance. Pourtant, si ces dernières sont votées, elles offriront une possibilité de contrôle de masse à faible coût et feront basculer le rapport que peuvent avoir les citoyens à la technologie en transformant radicalement la nature des objets qui nous entourent.

Tribune de Félix Tréguer, membre de La Quadrature du Net, initialement publiée sur le site lundimatin.

Il a fallu débourser 180€ et s’arracher à la torpeur de ce début d’été pour gagner le droit de s’attabler incognito au beau milieu du « milieu » français de la vidéosurveillance policière. L’AN2V, ou association nationale de la vidéoprotection, tenait l’une de ses « nuits de l’AN2V » à Paris le 27 juin dernier. Événement biennal, les « nuits » sont le moment le plus people de cette association de fabricants, de distributeurs, d’intégrateurs, bref de marchands des milliers de caméras de surveillance installées à grands frais dans nos villes et villages.

Ambiance

J’arrive vers 19 heures au musée des arts forains à Paris, à quelques centaines de mètres du ministère de l’Économie. Près de trois cent participants s’amoncellent dans la grande salle à l’entrée. L’ambiance est feutrée, les décors chatoyants et dorés. De vieux jeux de foire sont disposés aux quatre coins de la pièce, avec des animateurs et animatrices censées amuser la galerie. C’est l’heure de l’apéro et le champagne est servi sur des nappes blanches. Neuf individus sur dix sont des hommes, blancs eux-aussi. La quasi-totalité des quelques personnes non-blanches présentes ce soir sont des hôtes et des hôtesses, au vestiaire ou au service. Malheureusement rien de très étonnant dans ce lieu d’entre-soi élitaire.

Tandis que je m’exfiltre à l’extérieur pour respirer un peu, trois hommes s’assoient non loin de moi. Deux représentants de la société Videtics vendent leur soupe à un homme plus âgé qui semble être un donneur d’ordre : analyse de densité de foule, analyse de trafic et de trajectoire des individus dans l’espace urbain, ils vantent les mérites de leur solution et de l’expérimentation prochaine à Marseille du suivi de foules dans le cadre du consortium Serenity soutenu par BPIfrance. De là, en moins d’un quart d’heure, je vois passer Guillaume Cazenave, PDG de la start-up Two-I, spécialisée dans l’Intelligence Artificielle (IA) appliquée à la vidéosurveillance, mais aussi Élisabeth Sellos-Cartel, chargée de la vidéosurveillance au ministère de l’Intérieur. Quelques jours plus tôt, elle animait une réunion de l’AN2V pour éclairer ses membres quant au travail ministériel sur les futurs décrets d’application de l’article 7 de la loi« Jeux Olympiques » (JO) 2024, qui légalise à titre expérimental l’usage de la vidéosurveillance algorithmique – c’est le gros sujet du moment. De retour à l’intérieur, je vois passer les badges de représentants d’entreprises chinoises comme Hikvision et Dahua, lesquelles se partageraient plus de la moitié du parc français de vidéosurveillance. Des acteurs centraux et pourtant sur la défensive, on le verra. Puis à quelques mètres de là, je vois passer la personnalité politique clé pour l’ensemble du secteur de la vidéosurveillance : Philippe Latombe, ancien cadre au Crédit agricole et depuis 2017 député Modem de Vendée.

Philippe Latombe, député guest-star

Quoique que largement inconnu du grand public, le député Latombe est ce soir la guest-star. Aujourd’hui dans la majorité macroniste, membre de la commission des Lois à l’Assemblée nationale, il s’était présenté aux élections régionales de 2015 sur la liste d’extrême-droite de Debout la France, le parti de Nicolas Dupont-Aignan. Et en tant qu’élu de la majorité en 2021, il n’a pas hésité à propager une fake news sur des supposées « prières de rue musulmanes » à Challans. Pour le reste, il semble s’être employé à bâtir l’image d’un centriste raisonnable et d’ardent défenseur de la vie privée. Il a ainsi voté contre le passe sanitaire en 2020 et cosigné une tribune appelant à un moratoire sur la reconnaissance faciale. Cela a probablement aidé à ce que la présidente de l’Assemblée, Yaël Braun-Privet, le nomme au collège de la CNIL en août 2022.

Son jeu trouble avec l’industrie de la surveillance révèle pourtant son insatiable fascination pour la Technopolice, et le place dans une effarante position de conflit d’intérêt. Il y a quelques mois déjà, lors du salon professionnel ExpoProtection, le lobbyiste Sébastien Garnault, initiateur de la plateforme d’influence CyberTaskForce, le présentait en introduction d’un débat sur la vidéosurveillance comme « un interlocuteur de choix (…), un ardent défenseur de l’excellence française, donc clairement un coéquipier ». Cet hiver, Latombe a joué un rôle clé dans les débats sur l’article 7 de la loi JO 2024. Et il est entre autres choses co-auteur d’un rapport d’information sur « les images de sécurité » publié en avril dernier. Tout en jurant qu’« aucun compromis ne doit être fait concernant la protection des libertés fondamentales », ce rapport appelait à étendre très largement le recours à la vidéosurveillance et à la reconnaissance faciale. C’est de ce document dont l’AN2V a décidé qu’il serait beaucoup question ce soir.

20 heures sonnent. Quelqu’un prend le micro pour demander à ces « messieurs » de passer à table, oubliant les quelques femmes présentes ce soir – la non-mixité masculine est ainsi assumée. Le maître de cérémonie, Dominique Legrand, président de l’AN2V, lobbyiste en chef de la vidéosurveillance à la gouaille insatiable, fait son entrée en scène. À l’aise dans son rôle de MC, il convoque Philippe Latombe sur l’estrade et l’avertit d’emblée : « Ce soir, j’ai envie de vous challenger ». Latombe est prêt, chaud-bouillant même, d’autant plus que, en tant que héraut politique du secteur, il se sait au-dessus de tout reproche. Le petit jeu de questions/réponses qui s’amorce est parti pour durer près de trois longs quarts d’heure. Il va consister pour le lobbyiste à reprendre les recommandations les plus cruciales du rapport parlementaire dont Latombe est co-auteur pour demander à ce dernier de noter, sur une échelle de 0 à 20, la probabilité qu’elles soient bientôt inscrites dans les politiques publiques. Exemple : Va-t-on assister à une refonte totale des « dispositifs de captation d’images dans l’espace public » pour « rationaliser » le cadre juridique fixé par le code de la sécurité intérieure ? 10 sur 20 répond Latombe : « Cela finira par arriver mais il faudra sans doute des années au ministère de l’Intérieur pour conduire ce gros travail légistique ».

Viennent ensuite les recommandations n° 3, 4 et 5 du rapport, puis les n° 8, 9, 11, 14, 15 et 16. Durant l’échange, Dominique Legrand doit s’interrompre une dizaine de fois pour demander le silence : « le bruit de fond est trop important, vous n’écoutez pas ! » C’est que, dans l’auditoire, on sirote le kir le ventre vide et les discussions s’animent. On préfère apparemment laisser Legrand faire son numéro en papotant entre pairs dans une atmosphère détendue, dont il faut bien avouer qu’elle fait un peu mauvais genre. Latombe, beau joueur, ne voudrait surtout pas déranger. Il lâche un « c’est pas grave » et invite à poursuivre.

Recommandation 20 sur l’interopérabilité des systèmes de vidéoprotection et d’IA mis en œuvre dans le cadre de l’expérimentation ouverte par la loi JO. Legrand surjoue la satisfaction : « ça, ça nous convient parfaitement ». Recommandation n° 22 sur des marchés publics réservés aux acteurs français et européens au nom de la souveraineté numérique. Latombe s’enthousiasme : « C’est un sujet qui est en train de prendre partout au sein de l’hémicycle, de la France insoumise au Rassemblement national ». Quant au fait d’avoir co-signé, de façon inédite pour la majorité, un amendement sur ce sujet avec l’extrême droite dans le cadre de la loi JO : « Je l’assume c’est pas un souci ». Chassez le naturel extrême-droitier et il revient au galop. Il faut dire qu’outre le fait que le Rassemblement national aide à faire passer près de la moitié des textes de la majorité macroniste, le souverainisme économique est de bon ton dans un climat de rivalités géopolitiques croissantes. Quoiqu’ils aient eu gain de cause avec l’échec de cet amendement, les représentants des entreprises chinoises présents ce soir doivent trouver ces appels au souverainisme peu ragoutants. Et en même temps, l’incurable dépendance des Français aux technologies de l’Empire du milieu leur paraît sans doute un peu pathétique.

Fabrique de l’acceptabilité sociale de la surveillance

On arrive aux recommandations n° 29, 30 et 31 qui portent sur la reconnaissance faciale et biométrique dans l’espace public, un sujet qui fait l’objet d’une récente proposition de loi de la droite et du centre adoptée au Sénat. Reprochant à ses collègues sénateurs de vouloir aller trop vite en besogne, Latombe détaille la philosophie qui guide son approche, à ses yeux la plus capable de porter ses fruits : la stratégie des petits pas, aussi connue sous le nom de « fable de la grenouille » :

« Avec la reconnaissance faciale, on touche à un tabou absolu, on touche au truc qui fait que ça fait hurler tout le monde. Ce que nous avons proposé dans le rapport, et je pense que c’est la vraie bonne façon de faire les choses : si on y va d’un coup d’un seul, un peu comme les sénateurs veulent le faire, ça va tellement crisper que ça passera pas. Il faut y aller en touchant les choses du bout du doigt et en y allant dans des cas très particuliers et très bien protégés, très bien balisés. C’est pour ça qu’on a proposé avec Philippe Gosselin d’utiliser la reconnaissance faciale en direct, avec le flux live, pour trois cas très particuliers : crise terroriste (il faut retrouver les terroristes, il faut pas qu’on se pose de question pour l’utiliser) ; la finalité « bande organisée » (le braquage de fourgon ou d’une bijouterie avec des gens qui sortent de la bijouterie et sont prêts à tirer sur n’importe qui, il faut savoir où ils sont pour intervenir le plus rapidement possible […]) ; et sur l’alerte-enlèvement ([…] pour récupérer l’enfant le plus vite possible […]). Il s’agit de cas emblématiques pour lesquels nos concitoyens savent bien qu’il y a un risque et qu’il faut mettre en place tous les moyens pour contrer ce risque. Ça serait une faute [de ne pas utiliser la reconnaissance faciale]. Si on a des outils pour le faire, utilisons-les, et après on verra bien si ça marche pas. On verra. »

Legrand fait le mec prudent : « Très bien, ça tombe sous le sens, on comprend bien qu’il faut cadrer tout ça, ça peut pas tourner H24 sur l’ensemble du territoire ». Les businessmen de la vidéosurveillance sont des gens raisonnables, c’est l’un des leitmotivs de la soirée.

On poursuit avec une série de recommandations (n° 32, 33 et 35) portant sur les commissions départementales de vidéoprotection et les comités d’éthique, alibis commodes pour faire croire à l’existence de garde-fous mais tombés en déshérence ces dernières années du fait de leur manque de pouvoir et de leur inutilité. Là encore, le député insiste – et l’AN2V approuve : il faut les relancer, il en va de « l’acceptabilité sociale » de la vidéosurveillance.

« La première idée, explique Latombe, c’est de se dire que pour que ce soit accepté par la population, il faut mettre un certain nombre de garde-fous. C’est la CNIL, c’est des choses comme ça, ou le recours au droit que les personnes peuvent avoir pour accéder à leur images […]. Ça permet de mettre du contrôle citoyen sur les choses sans nuire à l’efficacité. Avec les caméras augmentées, où il y a des biais, le regard citoyen [symbolisé par les comités] permet d’apaiser les craintes, d’être sûr qu’il y a un contrôle citoyen qui permet aux habitants de se tranquilliser […]. C’est pas forcément quelque chose qui coûte très cher, c’est quelque chose qui s’organise et qui doit se réunir au moins une fois par trimestre, de faire un rapport et de challenger les effectifs communal (sic). »

Le patron de l’AN2V écoute avec le regard satisfait du maître à qui l’élève récite une leçon parfaitement apprise. Vient enfin la recommandation 36, qui propose de consacrer la CNIL en tant que « chef de file » de la régulation des systèmes d’IA. C’est alors que le député confirme ce que l’on constate depuis des années : plutôt que le gendarme des données personnelles, la CNIL est désormais une agence dédiée à l’accompagnement de l’innovation.

« Beaucoup de monde voit la CNIL comme un empêcheur de tourner en rond. Pour le voir un peu de l’intérieur depuis l’été dernier, il y a quand même une volonté d’ouverture de la CNIL sur ces sujets. Et d’ailleurs, quand on regarde les différents décrets, et même le texte JO [sur la VSA] et même sur le texte « douanes » sur les LAPI [lecture automatique de plaques d’immatriculation], la CNIL a vraiment ouvert ses chakras, en se disant qu’elle ne pouvait plus être ce gendarme strict et qu’il fallait qu’elle intègre les réalités sociales et technologiques et économiques. Il n’en reste pas moins que dans la loi JO, il a fallu rassurer les citoyens sur le fait que les algorithmes sont expertisés avant d’être déployés. Il y a eu un grand débat au sein du gouvernement sur ce sujet, il a été arbitré par le ministère de l’Intérieur face à Bercy qui voulait absolument que ce soit l’Arcep, réputée plus proche des milieux économiques. Il n’empêche que la CNIL est aujourd’hui en grande mutation sur le sujet [de l’IA…]. Mais on ne peut pas confier ces sujets-là à la CNIL sans lui ouvrir complètement ses chakras, et la meilleure façon d’ouvrir ses chakras, c’est d’abord de renforcer son collège en y mettant peut être un peu moins de juristes issus du Conseil d’État, qui sont majoritaires, en y mettant des personnes qualifiées issues du monde technologique, universitaire, et qui ont un capacité à comprendre ce que sont les technos […] ».

Les membres actuels du collège de la CNIL, qui d’ailleurs incluent déjà des universitaires et spécialistes de l’informatique, apprécieront. Quant au fait que la CNIL soit un « gendarme strict », il s’agit d’une grosse exagération compte tenu du laisser-faire de l’autorité dans de très nombreux dossiers. Mais reconnaissons à Latombe une chose : c’est encore pire depuis quelques mois.

« Comment on fait la bascule »

Quoi qu’enorgueilli de son bilan en tant que relais politique du lobby de la vidéosurveillance, il y a un point sur lequel Philippe Latombe tient à faire son mea culpa : le retard pris dans le calendrier réglementaire dans le déploiement de la vidéosurveillance algorithmique (apparemment, 6 mois de retard sur le calendrier prévu). Les décrets d’application de la loi JO ne sont certes toujours pas parus, mais il en aurait vu passer certains à la CNIL et il assure que tout sera prêt pour septembre. Enfin, conformément au souhait exprimé dans son rapport, une proposition de loi devrait être déposée d’ici la fin d’année avec son collègue Philippe Gosselin (LR) pour donner corps à leurs recommandations. Bref, le député a toutes les raisons d’inviter l’industrie de la surveillance à l’optimisme :

« Sur tous ces sujets, je pense qu’il faut que vous soyez rassurés. L’ensemble des sujets commence à infuser partout. Et pas que simplement dans la sphère politique avec le Sénat et l’Assemblée. Je sens que les élus sur l’ensemble du territoire sont conscients des évolutions technologiques et qu’ils ne peuvent pas rester à l’écart. La vraie question ensuite est de [savoir] comment on fait la bascule. Je pense que la bascule elle se fera pas d’un coup d’un seul parce que si on l’impose par la loi d’un coup d’un seul, on aura des blocages et ça marchera pas. Il faut qu’on arrive à adapter les choses pour que nos concitoyens se rendent compte que ça les aide au quotidien. Et si on y arrive, et si les maires peuvent être là pour aider à pousser ce sujet-là, à ce moment on pourra faire avancer les choses. Mais on voit que c’est un sujet qui porte, on voit que c’est un sujet qui avance partout. Y’en a qui sont plus en avance que d’autres – par exemple les douanes sur les LAPI. Il faudra qu’on revoit la manière dont on peut élargir l’utilisation des drones malgré la réserve du Conseil constitutionnel [qui interdit leur usage par les polices municipales]. Il faut avancer petit bout par petit bout, ça se fera pas en un claquement de doigt, mais on va y arriver. Quant à l’Intelligence Artificielle, c’est une vraie révolution, et il faut que vous l’intégriez sur tous les domaines qui pourront être utilisés ».

Message reçu dans l’assistance. Le patron de l’AN2V est d’accord. Fier même : tout ce petit cirque a montré à ses ouailles qu’il faisait bien son boulot : « il faut apprécier chaque marche engagée, on voit beaucoup de choses avancer », insiste-t-il.

Au confessionnal de l’AN2V

Il est bientôt 21 heures. C’est le moment que l’AN2V a choisi pour nous surprendre. Après avoir remercié Latombe et l’avoir invité à s’asseoir à sa table, Dominique Legrand invite sur scène Alain Chouraqui, directeur de recherche émérite au CNRS et auteur du Vertige identitaire, un ouvrage paru en 2022 et sous-titré : « Tirer les leçons de l’expérience collective  : comment peut basculer une démocratie ? ». Là encore, il sera donc question de bascule.

Proche de la LICRA, Alain Chouraqui est aussi président de la Fondation du camp des Milles, la structure qui gère le mémorial de ce camp d’internement situé près de Aix en Provence créé en 1939 pour y détenir des étrangers et des résistants anti-fascistes et qui, a l’été 1942, a servi de camp de déportation des juifs présents en zone non-occupée. On s’interroge : que peut-il bien faire ici ? Dominique Legrand tente de résumer la démarche : « À l’AN2V, on est pas là pour vendre que des caméras comme le disent très souvent ceux qui ne nous aiment pas, on est là pour réfléchir et de temps en temps lever le nez du guidon ». C’est en tout cas l’image qu’il veut donner à travers les nuits de l’AN2V.

Chouraqui commence donc son exposé, parle du travail de mémoire auquel il participe. Le ton de l’orateur est solennel, l’écoute de l’auditoire plus respectueuse. Chouraqui explique notamment que, dans le cadre d’un projet de recherche comparatif, lui et ses collègues politistes et historiens ont proposé un modèle en trois étapes des dérives autoritaires, génocidaires et fascistes. La France en serait aujourd’hui à la deuxième étape. L’espace d’un instant, il a réussi à casser la bonne ambiance. Dans un sac en papier disposé sur chacune des tables, on trouve son livre. Je l’ouvre au hasard et tombe sur la page 71. J’y lis le paragraphe suivant :

« Les ‘‘progrès techniques’’ offrent aux passions humaines une puissance telle qu’il peut en perdre la maîtrise en des ‘‘embardées monstrueuses’’ dont la Shoah est le paradigme puisqu’elle doit son ‘‘efficacité’’ extrême aux outils techniques et bureaucratiques les plus modernes mis au service du pire. Il suffit de se demander ce que les nazis auraient pu faire avec des outils informatiques et des manipulations génétiques. »

Par politesse, Chouraqui ne livrera ce soir aucune analyse quant au core business des membres de l’AN2V, à savoir la vente d’engins de surveillance qui participent à armer le génocide culturel des Ouïghours en Chine, la colonisation de la Palestine, et tant d’autres atteintes aux droits humains à travers le monde. Mais ce silence un peu hypocrite n’efface pas tout à fait l’incongruité de sa présence à cette soirée. Après son discours, le dîner peut enfin commencer. J’embraye la discussion avec mon voisin de table, dont le métier est, sans surprise, de vendre des caméras de surveillance et les technologies connexes. Il a trouvé l’intervention « passionnante » :

« C’est bien qu’ils l’aient invité, m’explique-t-il. On est des acteurs dans le business et c’est bien de se poser la question de l’impact des techniques qu’on met en place. Est-ce qu’on participe au Big Brother, au Big Data ? Dans un contexte de crise climatique et des migrations qu’il provoque, est-ce que nos instruments ne vont pas participer à faire du tri, à faire des choix dans les individus ? »

Il le dit à sa manière, vaguement inspirée par ce qu’il a retenu du choc des civilisations. Mais on sent que ces questionnements sont sincères. Tout vendeur de vidéosurveillance, pour peu qu’il n’assume pas pleinement ses penchants autoritaires et soit prêt à s’interroger – ce qui n’est certainement pas le cas de chaque personne dans l’assistance ce soir –, doit bien avoir occasionnellement ce genre de cas de conscience. Il sait qu’il flirte non seulement avec l’illégal, mais aussi avec l’amoral, ayant plus ou moins conscience qu’il contribue chaque jour à construire le monde pété que devront habiter ses enfants.

Je reste perplexe face à cet apparent paradoxe : invoquant la caution morale d’un personnage comme Chouraqui, l’AN2V sensibilise ses membres à la dérive autoritaire du pays, ce alors qu’elle est régulièrement pointée du doigt pour sa promotion de la surveillance numérique de l’espace public urbain. Comment l’expliquer ? Outre l’évident capital symbolique engrangé par l’association via la présence de l’intellectuel (« on réfléchit, on lève le nez du guidon »), le spectacle auquel j’ai assisté ce soir invite à faire l’hypothèse suivante : cette séquence sur l’autoritarisme produit la même chose chez les acteurs de la vidéosurveillance (à commencer par Legrand lui-même) que ce que la stratégie des petits pas et des garde-fous inefficaces produit sur la population : une forme de désinhibition vis-à-vis du potentiel totalitaire de cette technologie. Car la leçon d’histoire offerte par Chouraqui aura probablement permis à tout ce petit monde de se rassurer en se disant qu’il reste dans le camp du « Bien », celui de la démocratie, et ainsi de se dissocier de l’image funeste que leur renvoient leurs adversaires « droits-de-l’hommistes » (« ceux qui ne nous aiment pas », comme le résume Legrand de manière presque touchante). Ils peuvent d’autant mieux le faire que ce soir, ni Chouraqui, ni moi, ni personne d’autre n’aura pris la peine d’expliciter le lien entre technologies de surveillance et pratiques autoritaires. Ce lien est dans toutes les têtes et pourtant, il reste à l’état de non-dit.

Au fond, les nuits de l’AN2V sont un peu comme un confessionnal où les acteurs de la Technopolice sont venus ressasser leurs péchés pour mieux laver leur mauvaise conscience, un moment étrange où l’aveu implicite permet d’entretenir le déni. Faute secrètement avouée, à moitié pardonnée. Après ce bref moment de catharsis et de contrition silencieuse, chacun pourra s’en retourner à sa routine consistant à maximiser les profits liés à l’expansion des marchés de la surveillance. Plutôt qu’un paradoxe, et n’en déplaise à Charouqui, le gargarisme de démocratie auquel j’ai assisté ce soir révélerait donc l’un des mécanismes par lesquels les régimes libéraux contemporains « basculent », à savoir la déculpabilisation des élites et la production d’une irresponsabilité collective par la mise en scène des valeurs démocratiques. Des représentants commerciaux aux donneurs d’ordre administratifs en passant par les parlementaires, les hauts-fonctionnaires ou les ministres, nombreux sont ceux qui, en participant à ces événements rituels, se font croire qu’ils croient encore en la démocratie. Peut-être même se convainquent-ils ainsi qu’ils peuvent faire ce qu’ils font, c’est-à-dire déployer des technologies toujours plus sophistiquées de contrôle social, tout en agissant en son nom. Tandis que l’extrême droite s’affirme de manière toujours plus décomplexée, ces processus grâce auxquels les élites libérales gèrent la dissonance cognitive induite par leur complicité objective avec la spirale autoritaire en cours forment l’un des rouages les plus efficaces du fascisme qui vient.

Communiqué de l’Observatoire des Libertés et du Numérique, 31 mai 2023

---

Le projet de loi « Orientation et programmation du ministère de la Justice 2023-2027 » a commencé à être discuté au Sénat, et son article 3 fait déjà polémique. À raison.

Au milieu de dispositions qui visent à entériner pêle-mêle les interventions à distance des médecins en cas de prolongation de la garde à vue et des interprètes dès le début de la garde à vue, ou l’extension des possibilités des perquisitions de nuit à des crimes de droit commun, est créé un nouvel outil d’enquête permettant d’activer, à distance, les appareils électroniques d’une personne à son insu pour obtenir sa géolocalisation en temps réel ou capter des images et des sons. Art. 3 points 12° et 13° et 17° à 19°.

En clair, il s’agira par exemple pour les enquêteurs judiciaires de géolocaliser une voiture en temps réel à partir de son système informatique, d’écouter et enregistrer tout ce qui se dit autour du micro d’un téléphone même sans appel en cours, ou encore d’activer la caméra d’un ordinateur pour filmer ce qui est dans le champ de l’objectif, même si elle n’est pas allumée par son propriétaire. Techniquement, les policiers exploiteront les failles de sécurité de ces appareils (notamment, s’ils ne sont pas mis à jour en y accédant, ou à distance) pour installer un logiciel qui permet d’en prendre le contrôle et transformer vos outils, ceux de vos proches ou de différents lieux en mouchards.

Pour justifier ces atteintes graves à l’intimité, le Ministère de la Justice invoque la « crainte d’attirer l’attention des délinquants faisant l’objet d’enquête pour des faits de criminalité organisée, de révéler la stratégie établie ou tout simplement parce qu’elle exposerait la vie des agents chargés de cette mission » en installant les outils d’enquête. En somme, il serait trop risqué ou compliqué pour les agents d’installer des micros et des balises « physiques » donc autant se servir de tous les objets connectés puisqu’ils existent. Pourtant, ce prétendu risque n’est appuyé par aucune information sérieuse ou exemple précis. Surtout, il faut avoir en tête que le piratage d’appareils continuera de passer beaucoup par un accès physique à ceux-ci (plus simple techniquement) et donc les agents encourront toujours ce prétendu risque lié au terrain. De plus, les limites matérielles contingentes à l’installation d’un dispositif constituent un garde-fou nécessaire contre des dérives d’atteintes massives à la vie privée.

La mesure prévue par l’article 3 est particulièrement problématique pour les téléphones portables et les ordinateurs tant leur place dans nos vies est conséquente. Mais le danger ne s’arrête pas là puisque son périmètre concerne en réalité tous les « appareils électroniques », c’est-à-dire tous les objets numériques disposant d’un micro, d’une caméra ou de capteurs de localisations. Cette mesure d’enquête pourrait ainsi permettre de :

• « sonoriser » donc écouter des espaces à partir d’une télévision connectée, d’un babyphone, d’un assistant vocal (type Google Home), ou d’un micro intégré à une voiture ;
• de retransmettre des images et des vidéos à partir de la caméra d’un ordinateur portable, d’un smartphone ou d’une caméra de sécurité à détection de mouvement ;
• de récupérer la localisation d’une personne grâce au positionnement GPS d’une voiture, d’une trottinette connectée ou d’une montre connectée. De nombreux autres périphériques disposant de ces capteurs pourraient aussi être piratés.

Si ce texte était définitivement adopté, cela démultiplierait dangereusement les possibilités d’intrusion policière, en transformant tous nos outils informatiques en potentiels espions.

Il est, à cet égard, particulièrement inquiétant de voir consacrer le droit pour l’Etat d’utiliser les failles de sécurité des logiciels ou matériels utilisés plutôt que de s’attacher à les protéger en informant de l’existence de ces failles pour y apporter des remèdes.

Les services de police et de renseignement disposent pourtant déjà d’outils extrêmement intrusifs : installation de mouchards dans les domiciles ou les voitures (balise GPS, caméras de vidéosurveillance, micro de sonorisation), extraction des informations d’un ordinateur ou d’un téléphone par exemple et mise en oeuvre d’enregistreurs d’écran ou de frappes de clavier (keylogger). Ces possibilités très larges, particulièrement attentatoires à la vie privée, sont déjà détournées et utilisées pour surveiller des militant·es comme (dans la lutte du Carnet, dans l’opposition aux mégabassines, dans les lieux militants de Dijon, ou dans les photocopieuses de lieu anarchistes, etc.)

Alors que les révélations sur l’espionnage des téléphones par Pegasus continuent de faire scandale et que les possibilités des logiciels espions ont été condamnées par le Haut-Commissariat des Nations Unies aux droits de l’homme, le ministère de la Justice y voit a contrario un exemple à suivre. Il tente de légitimer ces dispositifs en assurant que seuls le crime organisé et le terrorisme seront visés via ces « techniques spéciales d’enquête ».

Si le projet de loi renvoie effectivement à des infractions considérées comme graves, cela n’est pas de nature à apaiser les inquiétudes légitimes. En effet, ces mêmes infractions graves ont déjà été utilisées pour poursuivre des actions militantes, que ce soit à l’encontre de personnes solidaires avec les migrants accusées d’aide à l’entrée de personnes en bande organisée, de militants écologistes, encore qualifiés récemment d’ « écoterroristes » ou encore de militants contre l’enfouissement de déchets nucléaires à Bure. Plus généralement, le spectre des infractions visées peut aussi dépasser l’imaginaire de la « grande criminalité », y sont inclus notamment : la production et la vente de stupéfiant quelque soit l’échelle, le proxénétisme dont la définition très large peut inclure la seule aide à une personne travailleuse du sexe, les vols en bande organisée…

Concernant la technique de géolocalisation des objets connectés, le spectre est encore plus large puisque l’activation à distance pourra concerner toutes les personnes suspectées d’avoir commis un délit puni de cinq années de prison, ce qui – en raison de l’inflation pénale des lois successives – peut aller par exemple du simple recel, à la transmission d’un faux document à une administration publique, ou le téléchargement sans droit de documents d’un système informatique.

Surtout, l’histoire nous a démontré qu’il existait en la matière un « effet cliquet » : une fois qu’un texte ou une expérimentation sécuritaire est adopté, il n’y a jamais de retour en arrière. À l’inverse, la création d’une mesure intrusive sert généralement de base aux extensions sécuritaires futures, en les légitimant par sa seule existence. Un exemple fréquent est d’étendre progressivement des dispositions initialement votées pour la répression d’un crime choquant à d’autres délits. Le fichage génétique (FNAEG) a ainsi été adopté à l’encontre des seuls auteurs d’infractions sexuelles, pour s’étendre à quasiment l’ensemble des délits : aujourd’hui, 10% de la population française de plus de 20 ans est directement fichée et plus d’un tiers indirectement.

Permettre de prendre le contrôle de tous les outils numériques à des fins d’espionnage policier ouvre la voie à des risques d’abus ou d’usages massifs extrêmement graves.

Au regard de la place croissante des outils numériques dans nos vies, accepter le principe même qu’ils soient transformés en auxiliaires de police sans que l’on ne soit au courant pose un problème grave dans nos sociétés. Il s’agit d’un pas de plus vers une dérive totalitaire qui s’accompagne au demeurant d’un risque élevé d’autocensure pour toutes les personnes qui auront – de plus en plus légitimement – peur d’être enregistrées par un assistant vocal, que leurs trajets soient pistés, et même que la police puisse accéder aux enregistrements de leurs vies – par exemple si elles ont le malheur de passer nues devant la caméra de leur téléphone ou de leur ordinateur.

Pour toutes ces raisons, l’article 3 de la LOPJ suscite de graves inquiétudes quant à l’atteinte aux droits et libertés fondamentales (droit à la sûreté, droit à la vie privée, au secret des correspondances, droit d’aller et venir librement). C’est pourquoi nous appelons l’ensemble des parlementaires à oeuvrer pour la suppression de ces dispositions de ce projet de loi et à faire rempart contre cette dérive sécuritaire.

Organisations membres de l’OLN signataires : Le CECIL, Creis-Terminal, Globenet, La Ligue des Droits de l’Homme, La Quadrature du Net, Le Syndicat des Avocats de France, Le Syndicat de la Magistrature.

---

Un an après la légalisation des drones par la loi de « sécurité Intérieure », le gouvernement a publié le 19 avril dernier le décret tant attendu par la police pour faire décoller ses appareils. Aux côtés d’autres associations, nous attaquons ce texte devant le Conseil d’État afin de dénoncer les atteintes aux libertés que portent en eux les drones et continuer de marteler le refus de ces dispositifs qui nourrissent un projet de surveillance de masse toujours plus décomplexé.

Une longue bataille

Rappelez vous, c’était pendant le confinement, en 2020. Les polices de France déployaient alors dans le ciel des drones pour contrôler les rues et ordonner aux personnes de rentrer chez elles. Avec la Ligue des droits de l’Homme, nous nous lancions dans un recours devant le Conseil d’État, qui a abouti à leur interdiction à Paris. Si cet épisode a marqué le début de la visibilité des drones aux yeux de tous·tes, ces engins de surveillance étaient en réalité loin d’être nouveaux. On en observait dès 2007 pour surveiller les banlieues, aux frontières mais aussi dès 2016 en manifestation, notamment dans la contestation contre la loi Travail. Provenant de l’industrie militaire en recherche de débouchés pour rentabiliser ses recherches ¹Voir Cities under siege -The new military urbanism, Stephen Graham, accessible ici, les drones se sont petit à petit installés dans les pratiques policières, à coup d’appels d’offres astronomiques et de batailles juridiques.

En effet, les velléités répétées et affichées des autorités pour utiliser ces drones ont été entravées par un certain nombre d’embûches. Malgré la décision du Conseil d’État, la préfecture de police de Paris a continué ostensiblement à les déployer en manifestation au cours de l’année 2020. Pourtant, il n’existait aucun cadre juridique à ce moment-là, ce qui signifiait que toute captation d’images par ces drones était illégale. Nous sommes alors retourné contester leur légalité et avons obtenu une nouvelle victoire, suivie d’une sanction de la CNIL auprès du ministère de l’Intérieur.

Dans une impasse, le gouvernement a choisi la sortie facile : faire adopter une loi qui donnerait un cadre légal aux drones. En toute logique, il a choisi pour cela la loi Sécurité globale, proposition de loi issue de la majorité LaREM à l’objectif assumé de généralisation de la surveillance de l’espace public. Mais au moment où le gouvernement allait arriver à ses fins, le Conseil constitutionnel a mis un nouvel obstacle sur sa route en censurant l’article sur les drones, estimant le cadre trop large et les garanties trop minces. Ce n’est donc qu’après avoir revu sa copie que le gouvernement a finalement réussi à obtenir leur autorisation au travers de la loi « responsabilité pénale et sécurité intérieure », adoptée fin 2021 et dont nous parlions ici. Le nouveau chapitre qu’il crée dans le code de la sécurité intérieure autorise la police à recourir aux drones pour un éventail très large de situations : manifestations et rassemblements jugés comme « susceptibles d’entraîner des troubles graves à l’ordre public », aux abords de lieux ou bâtiments « particulièrement exposés à des risques de commission de certaines infractions » ou encore dans les transports ou aux frontières.

Un déploiement qui ne s’est pas fait attendre

Le décret d’application récemment publié était donc attendu depuis l’année dernière, en ce qu’il précise les conditions d’utilisation et lance ainsi formellement le top départ de la surveillance volante (ou « aéroportée » comme on dit dans le jargon militaro-policier). Dans le cadre d’une procédure de référé (c’est-à-dire une procédure d’urgence), l’Association de Défense des Libertés Constitutionnelles (ADELICO) a attaqué ce texte pour dénoncer la violation des droits qu’entraîne cette surveillance. Nous nous sommes joint·es à cette affaire en déposant vendredi dernier un mémoire en intervention, afin de compléter les arguments de l’ADELICO en soulevant également la violation du droit de l’Union européenne qu’entraîne l’utilisation disproportionnée de ces dispositifs (vous pouvez le lire ici).

Car ce décret ne fait qu’aggraver le cadre général extrêmement permissif des drones. En effet, la loi laisse les mains libres à la police pour décider elle-même quels évènements doivent être surveillés, avec en première ligne les manifestations. Ainsi, il revient au préfet de justifier seul de la nécessité de l’utilisation des drones et, dans le cadre de rassemblements, de démontrer notamment qu’il est « susceptible d’entraîner des troubles graves à l’ordre public » pour avoir recours à cette surveillance. Or, nous l’avons observé de près ces dernières semaines, l’inventivité des préfets est sans borne dès qu’il s’agit de construire des récits et de présupposer des risques à la sécurité afin d’interdire des manifestations ou des casseroles. Néanmoins, un premier recours victorieux a réussi à les clouer au sol à Rouen le 5 mai, le tribunal administratif jugeant leur emploi non nécessaire.La perspective de devoir systématiquement, à chaque fois qu’on voudra manifester, déposer un recours contre les arrêtés préfectoraux d’interdiction, a quelque chose d’épuisant et de décourageant par avance qui avantage évidemment la position du pouvoir et de l’ordre policier.

Empêcher la banalisation

L’arrivée des drones dans l’arsenal policier a de quoi inquiéter : ce dispositif de surveillance ultime, qui se déplace, suit et traque, arrive dans un contexte de très importante répression des mouvements sociaux. Les premières utilisations qui ont suivi la publication du décret démontrent la volonté des préfets de les utiliser à tout va et de les installer dans l’imaginaire collectif. Que ce soit à Mayotte, aux rassemblements des Soulèvements de la Terre dans le Tarn ou à Rouen, lors des manifestations du 1er mai ou pour la finale de la Coupe de France, dès que la foule se rassemble, les drones devraient être là pour surveiller. De façon attendue, ces drones seront également utilisés en priorité dans les quartiers populaires, comme à Nice où la préfecture a annoncé y avoir recours pour « lutter contre le trafic de drogues » avant que l’on apprenne dans dans l’arrêté concerné que cela serait pour une durée de trois mois ! Cette même préfecture des Alpes-Maritimes s’est également empressé de les faire autoriser pour surveiller la frontière franco-italienne. Comme pour les caméras et leurs algorithmes, le but est d’alimenter la croyance que la sécurité passera par la surveillance, sans chercher une quelconque solution alternative qui ne serait pas répressive.

De plus, le décret prévoit que les images captées par drone pourront être conservées sept jours notamment pour être utilisées lors d’enquêtes judiciaires. Nous craignons qu’à partir de ce moment-là les interdictions de recoupements avec des fichiers, prévues uniquement pour la police administrative, ne s’appliquent plus. Ces flux vidéo pourraient alors être utilisés pour faire de l’identification de personnes, notamment à travers le fichier TAJ qui permet aujourd’hui aux policiers d’avoir recours massivement à la reconnaissance faciale, en moyenne, 1600 fois par jours.

L’arrivée des drones s’inscrit dans une logique délibérée de banalisation toujours plus importante de la surveillance de l’espace public, un mois après l’adoption de la loi JO. Si l’opposition contre ces dispositifs est heureusement bien présente, ce nouveau texte affaiblit considérablement le niveau de protection des libertés. Leur défense est ainsi laissée aux associations et militant·es qui devront, pour chaque autorisation préfectorale, contester en urgence leur caractère abusif et infondé devant un juge.

L’audience de cette affaire aura lieu le 16 mai et nous espérons que le Conseil d’État prendra au sérieux les arguments avancés par les associations, à l’heure où la France a troqué sa place de pays défenseur des droits humains pour celle de leader européen de la surveillance.

Nous vous tiendrons au courant de la décision et de la suite combat contre les drones. Et si vous voulez nous aider dans cette lutte, n’hésitez pas à faire un don si vous le pouvez !

Mise à jour du 12 mai 2023 : en réponse à la défense du ministre de l’intérieur, nous venons d’envoyer un mémoire en réplique que vous trouverez ici.

Communiqué de l’Observatoire des libertés et du numérique (OLN), Paris, le 24 avril 2023.

La loi sur les Jeux olympiques a été définitivement adoptée le 12 avril. Dans la foulée, des député·es de l’opposition ont saisi le Conseil constitutionnel. L’Observatoire des Libertés et du Numérique (OLN) a adressé ses observations dans un mémoire (accessible ici), invitant le Conseil constitutionnel à censurer les articles portant sur la vidéosurveillance algorithmique (article 7), les scanners corporels (article 11) et l’infraction d’intrusion dans les stades (article 12).

Après avoir mené le combat contre la vidéosurveillance algorithmique (VSA) au Parlement, l’OLN a réitéré ses critiques auprès du Conseil constitutionnel contre cette technologie de surveillance de masse, introduites pour la première fois en Europe à travers cette loi. Les dangers que la VSA fait peser sur les libertés découlent directement de la conception et du fonctionnement des logiciels de détection des comportements.

Le mémoire débute par un exposé technique, qui se veut didactique, sur l’élaboration de systèmes algorithmiques. El est ensuite démontré que le recours à la VSA ne répond ni à la condition de nécessité ni à l’exigence de proportionnalité.

D’une part, le gouvernement n’est pas parvenu à prouver de façon concrète et tangible une quelconque utilité ou efficacité de la VSA pour prévenir la délinquance, la criminalité ou les situations supposément risquées. D’autre part, les atteintes aux droits sont trop importantes par rapport à l’objectif poursuivi, les prétendues garanties prévues étant illusoires : celles-ci dépendent toutes du bon vouloir de l’État tandis que l’opacité de la fabrication des algorithmes par le secteur privé n’est jamais remise en question.

Le flou des « évènements » censés être détectés par les algorithmes, qui ne sont jamais définis précisément dans la loi ni au cours des débats parlementaires, a été dénoncé. Ils ne seront précisés qu’ultérieurement par décret. La CNIL sera certes consultée mais son avis n’est pas contraignant. Surtout, il est difficile de compter sur cette institution tant elle s’est révélée défaillante sur le sujet notamment depuis qu’elle a perdu son rôle de contre-pouvoir.

Une décision récente de la Cour constitutionnelle allemande a jugé inconstitutionnels des logiciels de police prédictive. Elle a considéré un traitement algorithmique problématique en ce qu’il crée et révèle de nouvelles informations plus intrusives sur les personnes. Le Conseil Constitutionnel a été invité à s’en inspirer.

L’OLN a également soutenu l’inconstitutionnalité de l’article 11, qui met en place des scanners corporels attentatoires au droit à la vie privée, et de l’article 12, qui créé de nouvelles sanctions disproportionnées en cas d’intrusion dans des stades, et dont il est à craindre qu’elles visent principalement les actions militantes dans le prolongement d’autres dispositions législatives répressives.

Le Conseil constitutionnel a maintenant un mois pour se prononcer. Sa jurisprudence passée, validant les dernières lois sécuritaires (loi sécurité intérieure, loi transposant le règlement de censure terroriste, LOPMI) ne laisse rien augurer de bon. Quoi qu’il en soit, les associations et organisations parties prenantes de l’OLN continueront d’agir contre chacune des expérimentations de la VSA et de dénoncer cette escalade vers un État de surveillance de plus en plus généralisé.

Organisations signataires membres de l’OLN : Le CECIL, Creis-Terminal, la Ligue des droits de l’Homme (LDH), Le Syndicat des Avocats de France (SAF), le Syndicat de la Magistrature (SM), La Quadrature du Net (LQDN).

L’article 7 de la loi sur les Jeux olympiques a été adopté ce midi par l’Assemblée, actant l’entrée formelle de la vidéosurveillance algorithmique (VSA) dans le droit français, jusqu’en décembre 2024. À l’ombre du tumulte de la réforme des retraites, et grâce à une procédure comme d’habitude extrêmement rapide, le gouvernement a réussi à faire accepter une des technologies les plus dangereuses jamais déployées. Pour cela, il a usé de stratégies, de mensonges et de récits fictifs, pour que jamais ne soient sérieusement et concrètement discutés le fonctionnement technique de ces outils et leurs conséquences politiques et juridiques en termes de surveillance de masse. Grâce à une majorité totalement désinvestie et au soutien total de l’extrême droite, la VSA a donc pu être légalisée sur la base de mensonges sapant toujours un peu plus le jeu démocratique.

• Le mensonge de la biométrie : le gouvernement a répété et inscrit dans la loi que la VSA ne relevait pas de la surveillance biométrique. C’est totalement faux. Cette technologie identifie, analyse, classe en permanence les corps, les attributs physiques, les gestes, les silhouettes, les démarches, qui sont incontestablement des données biométriques. Nous n’avons cessé de l’expliquer (voir notre note et notre video), de le rabâcher aux rapporteurs du Sénat et de l’Assemblée ainsi qu’aux députés, comme l’ont également fait 38 organisations internationales et une quarantaine d’eurodéputés qui ont récemment interpellé le gouvernement. Mais celui-ci a continué de s’enfoncer dans ce mensonge à la fois technique et juridique. Ainsi la France viole à nouveau le droit de l’Union européenne et consacre sa place de championne européenne de la surveillance.
  
• Le mensonge de l’utilité : le gouvernement a utilisé les Jeux olympiques comme prétexte pour atteindre plus vite l’objectif, fixé depuis des années, de légaliser ces technologies, s’inscrivant par là dans la « tradition », observée partout ailleurs et consistant à instrumentaliser de façon très opportuniste les méga-évènements internationaux. Le gouvernement a réussi à faire croire à une nécessité, fabriquée de toute pièce, pour « repérer les colis suspects » ou « prévenir les mouvements de foule ». Ces évènements sont soudainement devenus la nouvelle priorité du ministère de l’Intérieur et des députés zélés, qui n’ont cessé de résumer la sécurité des JO à ces situations, rarement identifiées comme prioritaires en temps normal, et dont nous démontrions ici que la résolution dépend davantage de maîtrise humaine que de technologie. Ainsi, la VSA a été acceptée sur le seul fondement d’un mythe bien ancré selon lequel la technologie permettrait d’assurer magiquement la sécurité, sans qu’aucune évaluation ni démonstration de l’utilité ou de la proportionnalité de ces technologies très opaques n’ait jamais été honnêtement réalisée.
  
• Le mensonge technique : l’application principale de la VSA consiste à identifier des comportements que la police aura préalablement définis comme « suspects ». Arbitraire et dangereux par essence, le fonctionnement de ces algorithmes n’a jamais été expliqué par le gouvernement : et pour cause, il n’est sans doute pas compris par la majorité des décideurs… Incompétence inexcusable ou volonté assumée de noyer le poisson, dans tous les cas, cela a ramené les débats parlementaires à un niveau extrêmement bas, qui n’est pas à la hauteur des enjeux gravissimes soulevés par ces technologies biométriques. Grâce à l’aide des rapporteurs Renaissance Guillaume Vuilletet et Sacha Houlié (le remplaçant) et de quelques députés, ce sont les rhétoriques de minimisation tirées des arguments de vente des entreprises de la VSA, les mensonges et les inepties techniques qui ont prédominé. Ce qui en ressort, c’est l’incapacité patente du Parlement à discuter de questions techniques, mais surtout la crainte légitime que la société doit avoir pour le futur, au vu de l’incompétence des représentants à appréhender les contours et les dangers des prochaines technologies qui émergeront.

À l’heure où les images de violences policières inondent les écrans, où la police, armée de matraques, assure le service après-vente de mesures impopulaires au possible, l’accentuation de la surveillance policière participe d’une stratégie politique visant à étouffer toute contestation.

Il faut dénoncer ces manœuvres permettant à l’État de détourner la réalité des prérogatives de surveillance qu’il s’arroge. Particulièrement dans un contexte où les mots sont sciemment déviés de leur sens, où l’on tente de nous convaincre que « la surveillance c’est la protection », que « la sécurité c’est la liberté », et que « la démocratie c’est le passage en force ». Il est nécessaire de visibiliser, de contrer ce faux jeu démocratique, et de remettre en cause sans relâche les pouvoirs exorbitants attribués à l’appareil policier français. Il n’est pas nécessaire d’évoquer une dystopie « à la chinoise » pour prendre la mesure des dangers. Mieux vaut regarder l’histoire française et le climat politique actuel, pour mesurer et comprendre la fuite en avant sécuritaire visible depuis vingt ans : toujours plus de caméras, de surveillance et de fichiers, dans une dépolitisation croissante des enjeux sociaux, et une perte de repères des décideurs politiques. Ainsi, les débats sur la loi JO ont principalement brillé par la perte de boussole politique des dirigeants qui semblent hermétiques à tout questionnement sur ces sujets.

Cette première légalisation de la vidéosurveillance automatisée est une victoire d’étape pour les industries sécuritaires françaises. Elles qui demandaient depuis des années à pouvoir tester leurs algorithmes sur les populations, pour les perfectionner et les vendre à l’international, les voilà servies. Bientôt Thales, XXII, Two-I et Neuroo pourront vendre leurs logiciels biométriques à d’autres États, tout comme Idemia a vendu sa technologie de reconnaissance faciale à la Chine. La startup XXII n’a même pas attendu le vote de la loi pour annoncer en fanfare qu’elle avait levé 22 millions d’euros pour devenir, selon ses mots « le leader européen » de la VSA.

Du côté des institutions censées préserver les libertés, comme la CNIL, on note une démission totale. Institution dotée de véritables capacités de contre-pouvoir pour mesurer les velléités étatiques de surveillance à sa création en 1978, la CNIL est devenue un service après-vente des mesures gouvernementales et s’applique méticuleusement à accompagner les entreprises à exercer une « bonne » surveillance afin de préserver les intérêts économiques de l’industrie en dépit de toute considération pour les droits et libertés collectives.

Cette première légalisation de la vidéosurveillance automatisée va nécessairement ouvrir la voie à toutes les autres technologies de surveillance biométrique : audiosurveillance algorithmique, reconnaissance faciale, suivi biométrique des personnes a posteriori…

Nous n’allons pas lâcher le combat, nous continuerons de dénoncer les mensonges du gouvernement, nous serons présents dès que la première expérimentation sera mise en œuvre pour documenter les abus inévitables auxquels conduisent ces technologies. Nous chercherons des moyens de les contester devant les tribunaux, et nous nous battrons pour que cette expérimentation ne conduise pas, comme c’est hélas probable, à leur pérennisation.
Et nous continuerons de refuser ces technologies et la Technopolice qu’elles incarnent, notamment en nous battant au niveau européen pour obtenir leur interdiction.

Alors si vous voulez nous aider dans cette lutte, gardez un œil sur ce qu’on pourra lancer dans les mois à venir, et si vous le pouvez n’hésitez pas à faire un don !

Hier, trente-huit organisations européennes et internationales, coordonnées par l’ECNL, ont dénoncé dans une lettre ouverte le projet du gouvernement français de légaliser la vidéosurveillance algorithmique en France. Nous les remercions de leur soutien à notre campagne et republions leur lettre ci-dessous.

Ces associations alertent l’Assemblée nationale sur le fait qu’il s’agirait de la première légalisation de la surveillance biométrique en Europe, qui confirmerait la position de la France comme fer de lance de la surveillance dans l’Union européenne. Cela n’est pas si étonnant quand on se souvient que le Conseil d’État avait courant 2021 écarté le droit de l’UE pour valider les pratiques de surveillance de la police et des services de renseignement, et que plus récemment la France s’est positionnée dans les négociations du règlement sur l’intelligence artificielle pour qu’il y ait le moins de restrictions possibles à l’usage de la surveillance biométrique.

Les Jeux olympiques sont instrumentalisés pour rendre acceptable un objectif politique pensé et voulu de longue date. Alors interpellons les député·es pour les convaincre de refuser ce premier pas vers une société où les logiciels de surveillance automatisée de nos corps deviendraient la norme. Rendez-vous sur notre page de campagne pour empêcher le vote de l’article 7 de la loi !

Lettre de la société civile aux députés français sur le projet de loi relatif aux Jeux olympiques et paralympiques 2024

Nous, 38 organisations de la société civile soussignées, exprimons notre vive inquiétude en ce qui concerne l’article 7 du projet de loi relatif aux Jeux olympiques et paralympiques de 2024¹ https://www.senat.fr/leg/pjl22-220.html . Cette disposition crée une base juridique pour l’utilisation de caméras dotées d’algorithmes en vue de détecter des événements suspects spécifiques dans l’espace public.

Ce projet de loi ouvre la voie à l’utilisation d’une vidéosurveillance algorithmique intrusive sous couvert d’assurer la sécurité lors d’événements de grande ampleur. En vertu de cette loi, la France deviendrait le premier État de l’Union européenne (UE) à légaliser de manière explicite ce type de pratiques. Nous estimons que les mesures de surveillance introduites sont contraires au droit international relatif aux droits humains dans la mesure où elles ne satisfont pas aux principes de nécessité et de proportionnalité et impliquent des risques inacceptables vis-à-vis de plusieurs droits fondamentaux tels que le droit à la vie privée, le droit à la liberté de réunion et d’association et le droit à la non-discrimination.

Nous invitons les députés français à envisager le retrait de l’article 7 et à consulter la société civile en ouvrant un débat sur cette question. Si l’article était adopté, il créerait un précédent inquiétant en matière de surveillance injustifiée et disproportionnée dans l’espace public, au détriment des droits fondamentaux et des libertés.

Ce projet de loi représente une grave menace pour les libertés civiques et les principes démocratiques

Par sa simple présence dans des zones accessibles au public, la vidéosurveillance algorithmique non ciblée (souvent appelée « indiscriminée ») peut avoir un effet dissuasif sur les libertés civiques fondamentales, et notamment sur le droit à la liberté de réunion, d’association et d’expression. Comme l’ont souligné le Comité européen de la protection des données et le Contrôleur européen de la protection des données²https://edpb.europa.eu/system/files/2021-10/edpb-edps_joint_opinion_ai_regulation_fr.pdf, la surveillance biométrique a de graves répercussions sur les attentes raisonnables des personnes en matière d’anonymat dans les espaces publics et a un effet négatif sur leur volonté et leur capacité d’exercer leurs libertés civiques, car elles redoutent d’être identifiées, repérées ou même poursuivies à tort. En l’état, cette mesure menace l’essence même du droit à la vie privée et à la protection des données, ce qui la rend contraire au droit international et européen relatif aux droits
humains.

Conformément aux valeurs et aux principes démocratiques, lors d’événements de grande ampleur tels que les Jeux olympiques, il est essentiel de garantir l’entière protection de ces droits fondamentaux et d’offrir des conditions propices au débat public, et notamment à l’expression politique dans les espaces publics.

Par ailleurs, ce projet de loi allonge considérablement et dangereusement la liste des motifs justifiant la surveillance des espaces publics. Ainsi, les situations de mendicité ou de rassemblements statiques pourraient être qualifiées d’« atypiques », créant un risque de stigmatisation et de discrimination pour les personnes qui passent beaucoup de temps dans l’espace public, par exemple parce qu’elles sont sans abri, en situation de vulnérabilité économique ou de handicap. Il est prouvé que l’utilisation des technologies de surveillance crée un état de contrôle, de profilage et de suivi permanent qui nuit de manière disproportionnée aux personnes marginalisées. L’utilisation de systèmes algorithmiques pour lutter contre la criminalité a entraîné une surveillance excessive de la part de la police, une discrimination structurelle dans le système de justice pénale et une criminalisation disproportionnée des minorités raciales, ethniques et religieuses. Cela conduit à la violation, entre autres, du principe de non-discrimination inscrit dans les normes internationales et européennes relatives aux droits humains.

Ce projet de loi entraînerait une surveillance biométrique de masse

Le paragraphe III de l’article 7 du projet de loi dispose de manière erronée que les systèmes algorithmiques de vidéosurveillance ne traiteront aucune donnée biométrique. Le règlement général sur la protection des données (RGPD) de l’Union européenne définit les données biométriques comme des « données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique » (article 4-14 du RGPD).

Si l’usage de caméras dotées d’algorithmes est destiné à détecter des événements suspects spécifiques dans l’espace public, ces caméras capteront et analyseront forcément des traits physiologiques et des comportements de personnes présentes dans ces espaces. Il pourra s’agir de la posture de leurs corps, de leur démarche, de leurs mouvements, de leurs gestes ou de leur apparence. Le fait d’isoler des personnes par rapport à leur environnement, qui s’avère indispensable en vue de remplir l’objectif du système, constitue une « identification unique ». Tel que l’établit la loi sur la protection des données de l’UE et selon l’interprétation du Comité européen de la protection des données³https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_fr.pdf, la capacité d’isoler une personne parmi une foule ou par rapport à son environnement, que son nom ou son identité soient connus ou non, constitue une « identification unique ».

Il est important de garder à l’esprit que l’utilisation de systèmes basés sur l’intelligence artificielle en vue d’analyser et de prédire les comportements, les émotions ou les intentions des personnes peut être tout autant intrusive et dangereuse que celle de systèmes visant à identifier des personnes. Le fait de placer des personnes dans une catégorie regroupant les comportements « à risque » sur la base de leurs données biométriques constituerait une catégorisation biométrique, que le Défenseur des droits et le projet de loi sur l’intelligence artificielle de l’UE définissent comme le fait de catégoriser des personnes physiques en fonction de
caractéristiques spécifiques en se fondant sur leurs données biométriques. Nous attirons l’attention des députés français sur le risque que cette mesure soit en contradiction avec la future loi de l’UE sur l’intelligence artificielle. Dans le cadre du travail législatif en cours, plusieurs amendements proposent l’interdiction totale de la catégorisation biométrique au regard des risques importants qu’elle entraîne pour les droits fondamentaux.

Les atteintes graves aux droits humains contreviennent aux exigences de nécessité et de proportionnalité

Pour garantir une véritable protection des droits humains, il convient de commencer par comprendre les limites des technologies et apporter des preuves de leur adéquation par rapport aux objectifs poursuivis. Dès lors, il est indispensable de mener une étude en vue de déterminer si les technologies introduites au nom de la sécurité répondent à des menaces avérées et quelles incidences leur utilisation aura sur les droits humains et les libertés civiques.

Bien que ce projet de loi présente des risques élevés pour les droits fondamentaux et malgré les preuves existantes⁴https://www.lemonde.fr/societe/article/2021/12/22/une-etude-commandee-par-les-gendarmes-montre-la-relative-inefficacite-de-la-videosurveillance_6106952_3224.html de l’inefficacité de la vidéosurveillance en matière de prévention des infractions et des menaces à la sécurité, le gouvernement n’a pas démontré la conformité de ce projet de loi aux principes de nécessité et de proportionnalité et il n’a pas engagé de véritable dialogue avec la société civile au sujet de cette mesure. De ce fait, nous estimons que les restrictions des droits humains introduites ne satisfont pas aux trois critères de légalité, de but légitime et de nécessité et de proportionnalité. Elles constituent une violation des obligations incombant aux États en matière de droits humains en vertu de traités internationaux, et notamment du Traité international relatif aux droits civils et
politiques et de la Convention européenne des droits de l’homme.

Ce projet de loi constitue une étape vers la normalisation de pouvoirs d’exception en matière de surveillance

L’article 7 du projet de loi est représentatif de la tendance inquiétante des gouvernements à étendre leurs pouvoirs de surveillance dans le cadre de mesures d’urgence prises au nom de la sécurité. Or, il est rare que ces mesures dites « d’exception » soient levées rapidement. En lieu et place, les mesures de surveillance et de contrôle deviennent la norme. Souvent, elles ne s’accompagnent pas de garanties suffisantes et de mécanismes de responsabilité, elles manquent de transparence et elles ne font l’objet d’aucun dialogue avec les parties intéressées.

Cette tendance a été amplement constatée en ce qui concerne les mesures de surveillance prises au cours des deux dernières décennies sous couvert de la lutte contre le terrorisme et, plus récemment, avec les solutions numériques adoptées dans le contexte de la pandémie de Covid-19⁵https://ecnl.org/publications/under-surveillance-misuse-technologies-emergency-responses. Nous avons également observé par le passé que les Jeux olympiques peuvent servir de terrain d’expérimentation⁶https://www.scielo.br/j/cm/a/zcKnN9ChT9Wqc4hfGWKSk4d/?format=pdf&lang=en pour doter l’État de pouvoirs renforcés qui sont ensuite maintenus lorsque la situation d’exception prend fin.

Ces exemples suffisent à justifier nos craintes de voir l’utilisation de la vidéosurveillance algorithmique perdurer au-delà de 2025. Si elle est adoptée, cette loi constituera également un précédent dangereux pour d’autres pays européens, tels que le Portugal et la Serbie, qui ont tenté, à ce jour sans succès, de légaliser une série de pratiques de surveillance biométrique risquées. La France endosserait alors le rôle peu reluisant de « leader » des politiques de surveillance au sein de l’Union européenne.

Nous espérons sincèrement que les députés français prendront des mesures de toute urgence en consultation avec la société civile afin de répondre aux préoccupations exposées ci-dessus.

• Access Now, International
• AlgoRace, Espagne
• AlgorithmWatch, Allemagne
• AlgorithmWatch CH, Suisse
• Amnesty International, International
• ApTI, Roumanie
• ARTICLE 19, International
• Association Nationale des Supporters, France
• Big Brother Watch, Royaume-Uni
• Bits of Freedom, Pays-Bas
• Centre for Democracy & Technology, Europe
• Chaos Computer Club Lëtzebuerg, Luxembourg
• Citizen D / Državljan D, Slovénie
• Civil Liberties Union for Europe, Europe
• Deutsche Vereinigung für Datenschutz e.V. (DVD), Allemagne
• Digitalcourage e.V., Allemagne
• Digitale Gesellschaft, Suisse
• Digitale Freiheit e.V., Allemagne
• Elektronisk Forpost Norge, Norvège
• Eticas Tech, Espagne
• European Center for Not-for-Profit Law Stichting (ECNL), Europe
• European Digital Rights, Europe
• Fair Trials, International
• Forum Civique Européen, France/Europe
• Football Supporters Europe, Europe
• Homo Digitalis, Grèce
• Human Rights Watch, International
• Irish Council for Civil Liberties, Irlande
• IT-Pol, Danemark
• Iuridicum Remedium, République tchèque
• Liberty, Royaume-Uni
• Panoptykon Foundation, Pologne
• Privacy International, International
• Privacy Network, Italie
• Share Foundation, Serbie
• Society Vrijbit, Pays-Bas
• Statewatch, Europe
• Today is a new day / Danes je nov dan, Slovénie

La loi sur les Jeux Olympiques, qui cherche notamment à légaliser la vidéosurveillance automatisée (VSA) et dont vous nous parlions ici, est passée sans encombre jeudi dernier en commission des lois au Sénat et sera discutée dès demain en séance.

Nous avons envoyé à l’ensemble des sénatrices et sénateurs un dossier d’analyse de cette technologie, fruit du travail de documentation et d’étude mené depuis plus de trois ans avec l’initiative Technopolice. Ce long document reprend et expose les enjeux techniques, politiques et juridiques de la VSA afin que nos élu·es prennent la mesure du danger engendré par sa mise en place et prennent surtout conscience du contexte dans lequel elle est défendue. Car contrairement à ce que le gouvernement prétend, la VSA ne sauvera pas les Jeux Olympiques de 2024.

Pour démystifier ce discours, les parlementaires doivent connaître la réalité économique et politique dans laquelle ces technologies ont émergé mais également comment leur conception implique un ensemble de choix politiques tout en débouchant sur une application qui sera, elle aussi, un instrument de mise en œuvre d’une politique répressive et de surveillance. Aussi, le Sénat doit prendre le temps d’appréhender le cadre juridique actuel, protecteur des données personnelles et de la vie privée, et qui est est en passe d’être fallacieusement écarté par ce projet de loi pour rendre acceptable la légalisation de la VSA.

Le rapport est accessible ici.

Nous espérons que les parlementaires le liront et arriveront à la seule conclusion possible : la vidéosurveillance automatisée est un outil de surveillance totale, qui analyse et classe la population, et qui ne doit jamais être légalisé. Seule la suppression de l’article 7 est envisageable.

Nous avons d’ailleurs pu prendre le temps de discuter de ce sujet samedi 14 janvier à la Flèche d’Or à Paris, où vous êtes venu·es nombreuses et nombreux écouter et débattre du phénomène des Jeux olympiques comme accélérateur de surveillance. Vous pouvez retrouver la présentation de Technopolice et de la VSA et le débat sur les jeux olympiques sur notre Peertube.

Nous reviendrons vite sur les actions à mener contre la vidéosurveillance automatisée et contre ce projet de société de surveillance que nous devons absolument refuser !

En catimini pendant les fêtes, le gouvernement a déposé le projet de loi concernant les jeux Olympiques et Paralympiques de 2024. Comme on l’attendait, ce texte prévoit d’ouvrir la voie à la légalisation de la vidéosurveillance automatisée (ou algorithmique, abrégée « VSA »), le tout sous un vernis théorique d’expérimentation limitée dans le temps. Et ce alors que partout sur le territoire, ces technologies sont déjà employées dans l’illégalité et l’impunité la plus totale. Prenant pour prétexte l’organisation prochaine des grandes compétitions sportives, le gouvernement et nombre de parlementaires se posent en défenseurs de l’industrie française en lui permettant de s’étendre durablement sur le marché de la vidéosurveillance.

Pour rappel : la vidéosurveillance automatisée, c’est la surveillance policière massive de l’espace public pour détecter des comportements réputés « anormaux » ; c’est le suivi algorithmique d’individus « suspects » dans la rue ; c’est l’intelligence artificielle pour faire la chasse aux illégalismes populaires ; c’est, à terme, l’identification par reconnaissance faciale en temps réel et la massification de la vidéoverbalisation ; ce sont des dizaines de millions d’euros d’argent public pour des technologies dangereuses déployées sans aucun débat digne de ce nom.

Si nous voulons tenir en échec ce projet de société, il nous faut obtenir coûte que coûte le rejet de ces dispositions. Tenez-vous prêt·es pour la mobilisation !

Cela fait plus de trois ans que nous documentons l’expérimentation illégale de la vidéosurveillance automatisée dans les villes et les villages français, que nous saisissons les tribunaux, dans des grandes villes comme à Marseille ou de petits villages comme à Moirans (Isère), pour dénoncer l’illégalité de ces technologies de surveillance dopées à l’intelligence artificielle. Trois années que, de leur côté, le gouvernement et les industriels se savent dans l’illégalité et qu’ils cherchent à changer la loi pour sécuriser ces déploiements sur le plan juridique. En 2020 déjà, la loi Sécurité Globale avait failli servir de canal législatif. Par peur des oppositions, le gouvernement avait alors préféré temporiser. Mais cette fois, nous y sommes…

L’opportunisme des Jeux olympiques

Le choix des Jeux olympiques et paralympiques de 2024 pour tenter de légaliser ces technologies n’est pas anodin. Les JO sont un « méga-évènement » qui, par leur dimension exceptionnelle, vont permettre la mise en œuvre et l’accélération de politiques tout aussi exceptionnelles. Comme cela a pu être observé lors des précédentes éditions, ces évènements sont l’occasion d’innovations législatives sécuritaires. Les lois accompagnant les Jeux olympiques mettent systématiquement en place un cadre pour un maintien de l’ordre strict, une militarisation de l’espace public ou encore une intensification des mesures de surveillance.

Le chercheur Jules Boykoff compare ce phénomène d’accélération législative à la « théorie du choc », développée par Naomi Klein, selon laquelle les gouvernements utilisent une catastrophe ou un traumatisme social pour faire passer des mesures basées sur la privatisation et la dérégulation. Les Jeux olympiques apparaissent eux aussi comme un accélérateur de politiques exceptionnelles, mais cette fois-ci en prenant appui sur un moment de fête ou de spectacle, par essence extra-ordinaire, où les règles politiques pourraient être temporairement suspendues, pour faire progresser des politiques qu’il aurait été difficile, voire impossible, de mettre en place en temps normal. 

Le gouvernement brésilien a ainsi utilisé les Jeux olympiques de 2016 à Rio pour mener des opérations quasi militaires dans les favelas ou expulser des personnes de leur logement. De la même manière, pour les Jeux olympiques de Tokyo, le gouvernement japonais a fait passer une loi « anti-conspiration » en réalité voulue de longue date pour mater les groupes militants et syndicaux. Les gouvernements précédents avaient tenté sans succès à trois reprises de faire passer une législation analogue. Cette loi a été très critiquée, notamment par les Nations Unies, au regard des atteintes aux libertés qu’elle créait et aux pouvoirs de surveillance qu’elle conférait à l’État. 

De la même manière, les méga-évènements sportifs sont souvent qualifiés de « spectacles de sécurité » ou « vitrines sécuritaires » puisqu’ils permettent à la fois d’être des moments d’expérimentation et des laboratoires des technologies, mais aussi de jouer sur ce moment exceptionnel pour atténuer les mesures de surveillance et les rendre plus acceptables (on vous en parlait notamment déjà ici et là).

Paris dans la course

Le choix du gouvernement français d’introduire les expérimentations de vidéosurveillance automatisée dans la loi sur les JO 2024 répond exactement à ce schéma et cette logique d’instrumentalisation des méga-évènements. Alors qu’aucune étude publique et scientifique n’existe sur ce sujet et qu’aucun besoin n’a été précisément identifié, les mesures concernant la VSA sont présentées par le gouvernement et certains parlementaires comme nécessaires à la sécurité de cet évènement. 

Dans l’analyse d’impact, le gouvernement se contente de prendre comme exemple la détection de colis abandonnés : « Plutôt que d’attendre son signalement par des effectifs de voie publique ou sa localisation par les opérateurs chargés du visionnage de milliers d’images de vidéosurveillance, cette mesure permettrait de gagner un temps précieux » et « seule l’utilisation d’un traitement algorithmique est de nature à signaler en temps réel cette situation à risque et de permettre aux services concernés de l’analyser et d’y donner suite le cas échéant.» Voilà pour la seule justification à l’introduction d’une surveillance algorithmique de l’espace public que le gouvernement entend déjà pérenniser et qui concerne potentiellement des millions de personnes.

Car en réalité, les expérimentations s’insèrent dans un projet politique plus large et satisfont les désirs exprimés depuis plusieurs années par le secteur industriel et les institutions policières d’utiliser massivement ces dispositifs. Il est donc certain que ces outils ne seront pas abandonnés après la fin de la période d’expérimentation, de la même manière que les boites noires des services de renseignement ou les règles dérogatoires de l’état d’urgence de 2015 ont été pérennisées alors qu’elles étaient censées être temporaires et exceptionnelles. D’ailleurs, des parlementaires en vue sur ce dossier, comme Philippe Latombe, évoquent dores et déjà une autre loi, plus généraliste, à venir sur le même sujet dans le courant de l’année 2023.

Un laisser-passer pour le marché de la VSA

Afin de permettre le développement de la VSA, le gouvernement a prévu un article 7 au sein du projet de loi qui propose un processus d’expérimentation découpé en plusieurs étapes jusqu’en juin 2025. Derrière cet apparent formalisme procédurier, l’article 7 constitue en réalité un tremplin pour la vente des logiciels de VSA à l’État et aux collectivités locales par le secteur privé. 

Si la loi est présentée comme concernant les Jeux olympiques, c’est en réalité sur une quantité d’évènements toute autre que les algorithmes vont être déployés pendant la durée prescrite pour les expérimentations : festivals de musique, courses de marathon, spectacles en plein air, marchés de Noël ou encore la coupe du monde de rugby 2023. Autant d’évènements « sportifs », « récréatifs » ou « culturels » qui serviront de terrain de jeux à ces algorithmes. D’ailleurs, le périmètre de ces évènements est également très large puisque les images utilisées iront jusqu’aux abords de ces lieux et aux moyens de transport les desservant (l’intérieur et les voies).

Tout d’abord, les expérimentations sont censées respecter une double condition qui épouse parfaitement le vocable et les offres créés par le marché de la VSA. Premièrement, elles doivent avoir pour finalité « d’assurer la sécurité de manifestations sportives, récréatives ou culturelles, qui, par leur ampleur ou leurs circonstances sont particulièrement exposées à des risques d’actes de terrorisme ou d’atteinte grave à la sécurité des personnes ». Deuxièmement, l’objet des traitements doit être « de détecter, en temps réel, des événements prédéterminés susceptibles de présenter ou de révéler ces risques et de les signaler en vue de la mise en œuvre des mesures nécessaires » pour une panoplie de services de sécurité (la police et la gendarmerie nationales, la police municipale, les services d’incendie et de secours et les services internes de sécurité de la SNCF et de la RATP). Les images traitées peuvent être celles issues des caméras de surveillance ou des drones, ces derniers étant autorisés depuis l’année dernière.

Comme pour beaucoup de dispositifs de surveillance, le gouvernement se justifie par une logique de prévention de risques. Et, comme souvent, ceux-ci sont si largement définis qu’ils peuvent inclure un nombre très large de situations. On retrouve à travers la fonctionnalité de détection d’évènements le cœur des dispositifs conçus et vendus par le marché de la VSA : deviner et classer les comportements « à risque » dans l’espace public et alerter sur ceux qui nécessiteraient une attention et une intervention de la police. Ainsi, dans la loi, l’« intelligence artificielle » (qui n’est jamais définie dans le texte) permettrait de déceler dans nos manières de vivre, bouger, marcher celles qui doivent déclencher – ou non – une alerte. 

Dans l’étude d’impact, les seuls « impacts sociaux » que le gouvernement relève seraient des avantages : la VSA « renforcerait » la sécurité, garantirait la « préservation de l’anonymat dans l’espace public et l’absence d’atteinte au droit à la vie privée » du fait de l’absence de reconnaissance faciale – carrément ! – et, enfin, les exigences de la loi permettraient la « neutralité de l’outil ». De son coté dans son avis, le Conseil d’État reprend la même logique que celle promue par les entreprises, à savoir que la fonction de l’algorithme se limite à une « levée de doute », minimisant ainsi le rôle du logiciel dans la prise de décision des agents de sécurité qui se déresponsabilisent derrière un outil technique. La CNIL, elle, est aux abonnés absents, se contentant de se féliciter que les « garanties » exigées dans sa précédente position qui appelait à légaliser la VSA aient été reprises dans le projet de loi…

Nous l’avons dénoncé à plusieurs reprises : ces outils sont tout sauf neutres. Dans la pratique actuelle du secteur, ces évènements vont de la « détection de comportement suspect », au « maraudage » (le fait d’être statique dans l’espace public), en passant par le « dépassement d’une ligne virtuelle » (c’est-à-dire l’entrée d’une personne dans une zone), le suivi de personne, la détection d’objets abandonnés, d’une bagarre ou encore d’un vol. Les comportements dits « suspects » ne reflètent aucune réalité tangible mais ne sont que la matérialisation de choix politiques subjectifs et discriminatoires qui se focalisent sur les personnes passant le plus de temps dans la rue : par exemple, sous la fonctionnalité de détection du « maraudage » se cache en réalité une chasse aux personnes mendiant. Qu’elle soit humaine ou algorithmique, l’interprétation des images est toujours dictée par des critères sociaux et moraux, et l’ajout d’une couche logicielle n’y change rien. Au final, elle automatise et massifie la prise de décision de la police pour mieux lui permettre d’augmenter son pouvoir de surveillance et de répression. 

Afin de pousser cette stratégie de minimisation de sa surveillance, le gouvernement affirme également que ces dispositifs ne traiteraient pas de données biométriques (ce qui est faux comme nous l’expliquions ici, et comme l’a récemment rappelé le Défenseur des droits¹Dans son rapport « Technologies biométriques : l’impératif respect des droits fondamentaux » de 2021, le Défenseur des droits considérait déjà les technologies de VSA comme des traitements de données biométriques. En 2022, il rappelait que la VSA consiste à traiter des données biométriques dans son enquête sur la « Perception du développement des technologies biométriques en France ».) et qu’ils ne feront pas de reconnaissance faciale. En s’engageant à renoncer pour l’instant à cette technologie qui a une place bien particulière dans l’imaginaire collectif, il joue ici un jeu politique et stratégique de communication pour donner à la VSA une image moins dangereuse. Le discours consiste à affirmer que la VSA ne reposerait « que » sur une analyse d’images purement technique qui ne se contenterait « que » d’« assister » l’humain. À nouveau, le gouvernement et le Conseil d’État piochent ici directement dans la pile d’arguments des marchands et promoteurs de la VSA. Celle-ci n’est en rien moins dangereuse que la reconnaissance faciale et touche à la même intimité du corps. En d’autres termes, la reconnaissance faciale n’est que l’une des nombreuses applications de la VSA. Et il y a fort à parier que son usage pour identifier des personnes en temps réel sur la voie publique sera à son tour légalisé, à l’occasion d’une prochaine et énième loi sécuritaire. Dès 2018, c’est d’ailleurs cet usage-là que des élus comme Christian Estrosi, le maire Horizons de Nice, mettaient en avant pour légitimer le recours à la vidéosurveillance automatisée dans leurs villes.

L’État aux manettes

Ensuite, le projet de loi prévoit que la confection et le déploiement des algorithmes soient divisé·es en plusieurs étapes, toutes supervisées par le pouvoir exécutif et avec le moins d’obstacles ou de gardes-fous possibles. 

Tout d’abord, à l’instar de la vidéosurveillance classique, les services de l’État ou des collectivités locales devront faire une demande d’autorisation au préfet. Ces demandes d’autorisation devront identifier un évènement précis où l’expérimentation aura lieu (par exemple le marathon de Paris en avril 2023 ou le festival des Vieilles Charrues en juillet) et définir l’algorithme à mettre en œuvre (quel « évènement » détecter, les spécificités de la situation justifiant l’usage de la VSA, qui peut y a voir accès, comment cela est financé…). Une analyse « bénéfices/risques » doit également être jointe à cette demande mais ce type de document est classiquement exigé en droit des données personnelles et il a dores et déjà fait la preuve de son incapacité à protéger les libertés publiques (ces analyses d’impact sont généralement mal rédigées par les demandeurs et n’empêchent presque jamais le déploiement de dispositifs qui pourraient plus tard être jugés illégaux par la justice).

Pour fabriquer le logiciel, l’État et les collectivités auront trois options : le développer eux-mêmes, le faire développer par un tiers, ou bien l’acquérir directement sur le marché. C’est bien entendu ces deux dernières options qui seront très probablement privilégiées puisqu’il est bien moins cher et bien plus rapide de confier la tâche à des entreprises qui le font depuis des années que de créer un service d’ingénieur·es en interne (qui gagneraient d’ailleurs davantage dans le secteur privé). Et du coté des industriels de la VSA – les gros comme Thales ou Idemia, les plus petits comme Briefcam, Aquilae, XXII, Two-I ou Datakalab –, c’est banco  ! Cette loi va leur permettre de démultiplier les déploiements en apportant un cadre juridique qui fait largement défaut jusqu’à présent, en réorientant l’ensemble des développements de leurs technologie de « vision assistée par ordinateur » vers des applications sécuritaires.

Quant aux foules passées au crible de ces systèmes au cours de la multitude d’évènements où auront lieu les tests, elles serviront de cobayes : le projet de loi prévoit en effet que les images de vidéosurveillance « classique » encadrées par le code de sécurité intérieure pourront être utilisées comme données d’apprentissage si leur durée de conservation n’est pas expirée. Or, on apprend dans l’étude d’impact que « si la réutilisation de ces données est nécessaire à la correction des paramètres du traitement, ces dernières peuvent être conservées au-delà de ces durées, dans la limite de la durée de l’expérimentation et pour ce seul usage, afin de parfaire l’apprentissage des algorithmes ». Cela signifie que les entreprises de VSA pourront donc disposer d’un volume conséquent d’images pour entraîner leurs algorithmes. Et les citoyen·nes filmé·es deviendraient tout simplement leurs rats de laboratoire. 

Coté technique, le projet de loi prévoit que le développement du logiciel devra répondre à des exigences qui sont en total décalage avec la réalité de la confection de ce type de logiciels d’analyse d’image. Nous y reviendrons plus longuement dans un prochain article. 

Ces exigences feront l’objet d’une attestation de conformité établie par une autorité administrative qui n’est pas encore définie et selon des critères et des méthodes qui ne sont jamais précisées. On apprend dans l’étude d’impact que l’État demandera probablement de l’aide à un « organisme de certification spécialisée ». Sans doute un autre acteur privé ? En tout cas, la seule chose qui est demandée aux industriels est de « présenter des garanties de compétences et de continuité et fournir une documentation technique complète ». 

Une fois le logiciel prêt, ce seront le préfet du département et, à Paris, le préfet de police qui autoriseraient l’utilisation des algorithmes auprès des services de sécurité qui en feront la demande. Ils seront également les seuls à pouvoir décider d’arrêter son utilisation ou de la renouveler, tous les mois, si les conditions sont remplies. À la fin de tout ça, ce que l’on remarque, c’est l’absence criante de la CNIL. Évincée du processus, ses pouvoirs sont extrêmement limités et jamais contraignants, qu’il s’agisse du décret d’autorisation de l’expérimentation (il s’agit d’un avis uniquement consultatif), dans la décision du représentant de l’État ou du préfet de police de mettre en œuvre le système (cette décision lui est simplement adressée) ou dans le suivi de expérimentation (le préfet la tient au courant « au tant que besoin », c’est-à-dire selon son bon vouloir).

Cette éviction de tout contrôle indépendant n’est pas étonnante et s’inscrit dans la perte de pouvoirs de la CNIL observée depuis le début des années 2000, celle-ci étant mise à distance sur les sujets de surveillance étatique pour se concentrer vers l’accompagnement des entreprises. L’absence de réaction forte de la CNIL face au déploiement de la VSA pour préférer le dialogue complaisant avec ses constructeurs confirme bien sa mue en autorité régulatrice du secteur économique de la surveillance. 

La bataille commence

Le gouvernement avait ce projet dans ses cartons depuis longtemps. Nous ne souhaitons en aucun cas l’améliorer ou rafistoler la loi : nous voulons le rejet pur et simple de cet article 7 pour le projet de société de surveillance qu’il incarne. 

La VSA est un changement de dimension de la surveillance de masse. En autorisant l’État à analyser, classer, évaluer les mouvements et comportements de chaque individu dans l’espace public, en lui donnant des pouvoirs de décision décuplés par l’automatisation de la prise de décision, cette technologie transforme notre rapport à l’espace public et démultiplie les capacités de contrôle et de répression de la police. 

Nous allons nous battre pour que cette première étape de la légalisation de la VSA ne puisse jamais voir le jour. Nous allons avoir besoin de vous afin de montrer l’opposition de la société à ces technologies et interpeller les parlementaires. La bataille commence au Sénat dès le 18 janvier, avant que soit transmis le texte à l’Assemblée. Nous reviendrons rapidement avec de nouvelles analyses et des outils pour vous permettre d’agir avec nous ! En attendant, nous vous invitons à venir nombreuses et nombreux en discuter le 14 janvier à la Flèche d’Or, à Paris. Nous parlerons Technopolice et Jeux olympiques avec des militant·es et chercheur·euses qui travaillent sur le sujet, toutes les infos sont ici !

Il y a deux semaines, nous relayions le recours d’étudiant·es contre l’usage par l’institut d’études à distance de l’Université Paris 8 du logiciel de surveillance algorithmique des examens « TestWe », recours au soutien duquel La Quadrature est intervenue. Hier, dans une ordonnance particulièrement intéressante, le tribunal administratif de Montreuil a suspendu l’usage de ce logiciel.

La société TestWe, qui édite le logiciel du même nom, se vante de développer un outil qui permet de surveiller automatiquement tout·e candidat·e passant une épreuve à distance. Pour résumer, cette surveillance automatisée consiste à analyser algorithmiquement les candidat·es en train de passer une épreuve écrite en dehors des locaux de l’université : l’identité est vérifiée automatiquement au début et pendant l’épreuve, le regard est analysé en permanence, l’environnement immédiat est constamment scruté par analyse vidéo et sonore (voir notre analyse complète du logiciel). Il s’agit donc là d’un traitement de données personnelles, dont un certain nombre de données sensibles.

La procédure introduite par les étudiant·es et dans laquelle La Quadrature est intervenue consistait à demander, en référé (c’est-à-dire en procédure d’urgence), au tribunal administratif de suspendre l’utilisation du logiciel TestWe par l’institut d’études à distance de l’Université Paris 8.

Pour obtenir cette suspension, il fallait faire naître dans l’esprit du juge administratif un « doute sérieux ». C’est-à-dire démontrer qu’il est assez probable que ce logiciel soit illégal, en tout cas suffisamment pour qu’un examen bref de la situation (vu qu’il s’agit d’une procédure très rapide) permette de déceler une atteinte flagrante aux libertés ¹Ce même « doute sérieux » nous permettait, en 2020, d’obtenir la suspension de l’usage de drones par la préfecture de police de Paris.. C’est exactement ce qu’a constaté hier le tribunal administratif de Montreuil : TestWe est un logiciel qui est assez probablement disproportionné et ce doute justifie que son utilisation soit suspendue.

Quels étaient nos arguments juridiques ? Qu’un traitement de données comme TestWe doit respecter un certain nombre de conditions pour être légal. Parmi ces exigences, il y notamment celle que soit prouvées l’existence d’une base légale (c’est-à-dire que le traitement de données doit être autorisé par la loi), d’une finalité (c’est-à-dire l’objectif pour lequel le traitement est mis en œuvre) et d’une proportionnalité (c’est-à-dire que seules les données nécessaires à l’objectif doivent être traitées, ce qui est parfois appelé « principe de minimisation des données »). Dans nos écritures en soutien aux étudiant·es (une requête en intervention, une note en délibéré puis un mémoire en réplique à l’analyse d’impact hallucinante produite par l’Université), nous avons détaillé en quoi le logiciel TestWe ne reposait sur aucune base légale parmi celle prévue par le RGPD et était disproportionné par rapport à la finalité affichée, c’est-à-dire celle de la surveillance d’un examen à distance.

C’est ce deuxième point, la disproportion, qui a retenu l’attention du tribunal administratif. Il a estimé que le « doute sérieux » permettant d’ordonner la suspension de l’usage de TestWe réside dans le fait qu’il est probable que ce logiciel ne respecte pas l’exigence de minimisation des données du RGPD. Et c’est plutôt une bonne nouvelle que le juge soit sensible à cet argument : cela signifie que le périmètre des informations et données sur les étudiant·es que TestWe collecte est bien trop large et démesuré pour l’objectif poursuivi. En somme, ce n’est pas parce que les données existent ou sont disponibles qu’il est légal de les utiliser pour toute finalité. 

Une ordonnance aux différentes conséquences positives

Tout d’abord, réjouissons-nous que la surveillance algorithmique soit écartée de l’Université : en émettant des doutes quant à la légalité de ce genre de dispositif, le tribunal administratif de Montreuil a envoyé un avertissement à toutes les autres universités et écoles.

Également, au-delà de cette affaire, cette ordonnance ouvre surtout une brèche quant à la reconnaissance de la disproportion des dispositifs de surveillance algorithmique. En mai 2020, lorsque nous faisions interdire les drones du préfet Lallement, le Conseil d’État nous donnait raison parce qu’il constatait l’absence de base légale, c’est-à-dire l’absence d’autorisation par la loi. En décembre 2020, lorsque nous obtenions une nouvelle victoire, le Conseil d’État relevait à nouveau l’absence de base légale (il ajoutait aussi quelques considérations dénonçant le principe même de ce genre de dispositif, ce qui nous avait conduit à parler de « victoire totale »). Mais le problème des victoires obtenues grâce à un défaut de base légale est qu’elles ne durent jamais très longtemps : la loi se change et c’est ce que s’est empressé de faire le gouvernement avec la loi Sécurité globale (partiellement censurée par le Conseil constitutionnel) puis la loi de Sécurité intérieure (cette fois-ci validée par le Conseil constitutionnel).

Concernant TestWe, le tribunal administratif de Montreuil estime que le doute quant à la légalité du dispositif vient de sa probable absence de proportionnalité. C’est-à-dire qu’il reconnaît que surveiller les corps et les sons en permanence n’est pas justifié pour des examens à distance.

Or, depuis 2020, nous nous battons contre la vidéosurveillance algorithmique, qu’elle soit dans des grandes villes comme Marseille ou dans de petits bourgs comme à Moirans (en Isère). Nous nous battons également contre la surveillance sonore, face à la ville d’Orléans qui souhaite être pionnière dans ce domaine. Si ce genre de dispositif n’est actuellement pas autorisé par la loi, cette base légale manquante pourrait bien arriver, en tout cas pour la vidéosurveillance algorithmique, par la loi sur les JO 2024 qui se prépare à légaliser ces pratiques de surveillance de masse de l’espace public. Et c’est là tout l’apport de l’ordonnance sur TestWe : la proportionnalité de ce genre de surveillance algorithmique permanente est désormais sérieusement questionnée.

La victoire des étudiant·es devant le tribunal administratif de Montreuil nous permettra également de mieux nous opposer au souhait de la CNIL de rendre ces dispositifs de surveillance des examens légaux. Contrairement à ce que le juge a conclu, la CNIL souhaiterait consacrer un principe de proportionnalité de certaines surveillances vidéos et audio, et encourager l’usage d’algorithmes de détection de comportements.

Une lutte qui continue

Cette victoire en référé ne met pas un terme à la lutte. Le juge n’a pas dit que TestWe est illégal, simplement qu’il y a un doute sérieux quant à sa légalité. Nous poursuivons donc le combat aux côtés des étudiant·es de Paris 8 dans la procédure au fond (c’est à dire la procédure normale, longue et sans condition d’urgence) pour transformer l’essai et faire reconnaître définitivement par le tribunal administratif de Montreuil l’illégalité de TestWe. Cette décision au fond n’arrivera toutefois pas avant de longs mois.

Sur son site internet, l’entreprise TestWe se vante d’avoir pour clientes des institutions comme le CNED, l’ESSEC, le concours SESAME ou encore Grenoble École de Management. Nous appelons donc les étudiant·es de ces établissements, ainsi que ceux dont l’université ou l’école utiliserait un logiciel similaire à TestWe, mais également les professeur·es et enseignant·es, à poursuivre la lutte initiée par la mobilisation à Paris 8 : faites du bruit dans vos facs, réutilisez les arguments juridiques, créez le rapport de force. La victoire d’aujourd’hui n’attend que de se propager pour, in fine, bouter la Technopolice et toutes les idées qu’elle charrie hors des facs.

Communiqué de l’Observatoire des libertés et du numérique (OLN), Paris, le 28 octobre 2022.

La loi d’orientation et de programmation du ministère de l’Intérieur (la « LOPMI ») a été adoptée au Sénat et sera débattue à l’Assemblée nationale dans les prochaines semaines. Ce texte soulève de sérieuses inquiétudes pour les sujets touchant aux libertés fondamentales dans l’environnement numérique.

L’Observatoire des libertés et du numérique appelle les député·es à rejeter massivement ce texte.

1. Un rapport programmatique inquiétant promouvant une police cyborg

S’agissant d’une loi de programmation, est annexé au projet de texte un rapport sans valeur législative pour décrire les ambitions gouvernementales sur le long terme et même, selon Gérald Darmanin, fixer le cap du « réarmement du ministère de l’Intérieur ». Déjà, en soi, le recours à une sémantique tirée du registre militaire a de quoi inquiéter.  Véritable manifeste politique, ce rapport de 85 pages fait la promotion d’une vision fantasmée et effrayante du métier de policier, où l’agent-cyborg et la gadgétisation technologique sont présentés comme le moyen ultime de faire de la sécurité.

L’avenir serait donc à l’agent « augmenté » grâce à un « exosquelette » alliant tenue « intelligente » et équipements de surveillance. Nouvelles tablettes, nouvelles caméras piéton ou embarquées, promotion de l’exploitation des données par intelligence artificielle, sont tout autant d’outils répressifs et de surveillance que le rapport prévoit d’instaurer ou d’intensifier. Le ministère rêve même de casques de « réalité augmentée » permettant d’interroger des fichiers en intervention. C’est le rêve d’un policier-robot qui serait une sorte de caméra mobile capable de traiter automatiquement un maximum d’information. Ce projet de robotisation aura pour premier effet de rendre plus difficile la communication entre les forces de l’ordre et la population.

Cette projection délirante se poursuit sur d’autres thématiques sécuritaires. Le ministère affiche par exemple la volonté de créer des « frontières connectées » avec contrôles biométriques, drones ou capteurs thermiques. Il confirme également son obsession toujours plus grande de la vidéosurveillance en appelant à en tripler le budget à travers les subventions étatiques du fonds interministériel de prévention de la délinquance (FIPD), malgré l’inutilité démontrée et le coût immense de ces équipements.

Qu’il s’agisse de délire sécuritaire ou de calcul électoraliste, le rapport livre une vision inquiétante du numérique et de la notion de sécurité. Malgré son absence de portée normative, pour le message qu’il porte, l’OLN appelle donc les député·es à voter la suppression de ce rapport et l’article 1 dans son entièreté.

2. Un affaiblissement du cadre procédural des enquêtes policières

Ensuite, le fond des dispositions est guidé par un objectif clair : supprimer tout ce que la procédure pénale compte de garanties contre l’autonomie de la police pour faciliter le métier du policier « du futur ». La LOPMI envisage la procédure pénale uniquement comme une lourdeur administrative inutile et inefficace, détachée du « cœur de métier » du policier, alors qu’il s’agit de règles pensées et construites pour protéger les personnes contre l’arbitraire de l’État et renforcer la qualité des procédures soumises à la justice. On peut d’ailleurs s’étonner que le texte soit principalement porté par le ministère de l’Intérieur alors qu’il s’agit en réalité d’une refonte importante de la procédure pénale semblant plus relever de l’organisation judiciaire.

De manière générale, l’esprit du texte est assumé : banaliser des opérations de surveillance en les rendant accessibles à des agents moins spécialisés et en les soustrayant au contrôle de l’autorité judiciaire. Le texte permet ainsi à de nouvelles personnes (des assistants d’enquête créés par le texte ou des officiers de police judiciaire qui auraient plus facilement accès à ce statut) de faire de nombreux actes d’enquête par essence intrusifs et attentatoires aux libertés.

Par exemple, l’article 11 prévoit que les officiers de police judiciaire peuvent procéder directement à des « constatations et examens techniques » et à l’ouverture des scellés sans réquisition du procureur. Complété par des amendements au Sénat, cet article facilite désormais encore plus les interconnexions et accès aux fichiers policiers (notamment la collecte de photographie et l’utilisation de la reconnaissance faciale dans le fichier TAJ ainsi que l’analyse de l’ADN dans le FNAEG), contribuant à faire davantage tomber les barrières pour transformer le fichage massif en un outil de plus en plus effectif de contrôle des populations.

Ensuite, l’article 12 conduit en pratique à une présomption d’habilitation à consulter des fichiers pendant une enquête ou une instruction. Sous couvert d’une protection contre les nullités de procédure, cette simplification soustrait les policiers à toute contrainte formelle et supprimerait une garantie fondamentale de protection du droit à la vie privée. Cette disposition permettrait un accès total aux fichiers et viderait par ailleurs de leur substance l’ensemble des textes existants visant à limiter l’accès (pourtant déjà très souple), pour chaque fichier, à une liste de personnes habilitées et déterminées. On assiste ainsi à un « effet cliquet »: après avoir multiplié les fichages en prétextant des garanties, on vient ensuite en faciliter les accès et les interconnexions.

3.  L’amende forfaitaire délictuelle : une utilisation du numérique contre les justiciables

Par cette dynamique, le gouvernement fait passer la répression et la surveillance comme l’outil principal du travail policier et affaiblit considérablement le socle de protection de la procédure pénale.

Le projet d’étendre encore un peu plus le champ d’application de l’amende forfaitaire délictuelle (AFD) en est l’une des illustrations les plus éloquentes : cette procédure — dont l’efficacité prétendue n’est mesurée qu’à l’aune du nombre d’amendes prononcées et à la rapidité de la sanction — repose sur un usage de l’outil numérique permettant d’industrialiser et automatiser le fonctionnement de la justice pénale en affaiblissant les garanties contre l’arbitraire, en entravant le débat contradictoire, et en transformant l’autorité judiciaire en simple « contrôleur qualité ». 

Les forces de l’ordre sont ainsi transformés en « radars mobiles » de multiples infractions, le tout sans véritable contrôle judiciaire et en multipliant les obstacles à la contestation pour la personne sanctionnée.

L’évolution vers cette justice-là n’est pas un progrès pour notre société.

Ce projet, s’il est adopté, porterait une atteinte sérieuse au nécessaire équilibre qui doit exister entre, d’une part, la protection des libertés individuelles et collectives et, d’autre part, l’action des policiers. Les député·es doivent donc rejeter ce texte qui affaiblit le contrôle nécessaire de l’activité policière et met en danger les équilibres institutionnels qui fondent la démocratie.

Organisations signataires membres de l’OLN : Le CECIL, Creis-Terminal, Globenet,La Quadrature du Net (LQDN), Le Syndicat des Avocats de France (SAF), le Syndicat de la Magistrature (SM).