Un des obstacles les plus importants dans la lutte contre la Technopolice est l’opacité persistante de l’utilisation des technologies de surveillance. Pour contrer cette difficulté, La Quadrature du Net lance aujourd’hui Attrap (pour « Automate de Traque de Termes et de Recherche dans les Arrêtés Préfectoraux »), un moteur de recherche d’arrêtés préfectoraux qui contribue ainsi à une plus grande transparence de l’action de l’administration. Cet outil est destiné aux journalistes, militant·es, avocat·es, habitant·es qui souhaitent faire des recherches facilement et rapidement dans la masse d’arrêtés préfectoraux, et ainsi pouvoir connaître quels sont les outils de surveillance et de contrôle utilisés par l’État sur elles et eux.

Ces dernières années, la multiplication des outils de surveillance à disposition des autorités publiques s’est accompagnée d’une augmentation du pouvoir des préfets, émanations locales de l’État. Par exemple, depuis 1995, il revient aux préfets de département d’autoriser les communes ou commerces à mettre en place de la vidéosurveillance. On retrouve ce même mécanisme d’autorisation préfectorale pour les drones depuis 2023 ou, depuis la loi sur les Jeux Olympiques, pour la vidéosurveillance algorithmique dont la première autorisation a été délivrée en avril 2024.

Les préfets sont également dotés de pouvoirs d’interdictions ou de restrictions. Ils peuvent ainsi interdire des manifestations, créer des locaux de rétention administrative (équivalent temporaire des centres de rétention administratifs, CRA, qui servent à enfermer les personnes étrangères avant de les expulser) ou, depuis la loi SILT (qui introduisait en 2017 dans le droit commun les mesures de l’état d’urgence), mettre en place des « périmètres de sécurité ».

En théorie, toutes ces décisions des préfets doivent être publiées. Mais en pratique, il est très difficile d’accéder à cette information. Parfois, les préfectures communiquent sur les réseaux sociaux. Mais cela reste exceptionnel et cantonné à quelques grands événements. La plupart du temps, toutes ces décisions sont enterrées au fond des recueils des actes administratifs des préfectures.

Les recueils des actes administratifs, triste exemple d’inaccessibilité

Les recueils des actes administratifs (RAA) sont les journaux officiels des préfectures : dans un objectif très théorique de transparence, beaucoup de décisions prises par les préfectures doivent être publiée dans ces RAA. Cette publicité est cependant limitée en pratique : les RAA sont délibérément organisés de manière à être les moins accessibles possibles.

Prenons un cas pratique pour illustrer cette inaccessibilité. De passage à Antibes le week-end du 25-26 août 2024, vous avez constaté qu’un drone survolait le centre-ville. Vous souhaitez alors connaître la décision (en l’occurrence ici, un arrêté) qui a autorisé cette surveillance et voir les justifications avancées par les pouvoirs publics pour son déploiement, la durée d’autorisation ou encore les personnes responsables.

Une recherche sur le site de la préfecture des Alpes-Maritimes ne retourne aucun résultat. Vous devez alors rechercher par vous-même dans les RAA. Mais ceux de la préfecture des Alpes-Maritimes sont dispersés dans une multitude de fichiers PDF, eux-même éparpillés dans de nombreuses pages et sous-pages du site de l’administration. Vous devez donc scruter l’ensemble des recueils mensuels, spéciaux et spécifiques. Mais gare à vous si vous ouvrez trop rapidement plusieurs fichiers PDF : vous vous retrouverez bloqué·e par la plateforme et devrez attendre plusieurs dizaines de minutes avant de pouvoir continuer ! De plus, en utilisant la fonction Recherche de votre navigateur dans les fichiers PDF des RAA publiés autour de la date recherchée, vous ne trouvez nulle part le terme « aéronef » (expression légalement consacrée pour désigner les drones).

Finalement, en recherchant « drone », vous trouvez une petite ligne dans le sommaire du RAA spécial du 14 août. En vous rendant à la page indiquée dans le sommaire, vous constaterez qu’il s’agit bien de l’arrêté préfectoral que vous cherchez. Mais il n’est pas possible de sélectionner le texte (donc de faire une recherche dans le corps des arrêtés du RAA) parce que les services de la préfecture ont publiée sa version scannée…

Il ne s’agit pas du pire exemple, même si certaines préfectures rendent leurs recueils d’actes administratifs un peu plus accessibles que celle des Alpes-Maritimes. Et, dans notre cas pratique, il s’agissait de retrouver un arrêté précis. Autant dire qu’il n’est pas possible de faire une veille efficace, et donc d’exercer un contrôle sur les actes pris par les préfectures, notamment en termes de surveillance de la population.

Une interface unique pour rendre accessible les recueil des actes administratifs

Pour contourner ces obstacles pratiques, nous avons créé Attrap. Il s’agit d’un moteur de recherche qui analyse automatiquement les sites des préfectures, télécharge les différents fichiers PDF des RAA, reconnaît les caractères, extrait le texte et rend tout cela disponible dans une interface web unique. À partir de cette dernière, vous pouvez alors rechercher des mots-clés dans les RAA de toutes les préfectures ou certaines seulement, trier les résultats par pertinence ou chronologiquement, ou encore faire des recherches avancées avec les mots « AND » ou « OR ». Ainsi, l’arrêté d’autorisation de drones de notre exemple peut se trouver en quelques instants.

Mieux ! Si vous savez coder et voulez développer des fonctionnalités que n’offre pas Attrap (par exemple un système de statistiques, de veille, ou d’analyse plus poussée des arrêtés préfectoraux), vous pouvez utiliser librement l’API du service. C’est grâce à celle-ci que nous avons créé les robots de veille Mastodon Attrap’Surveillance (qui détecte la vidéosurveillance, la VSA et les drones), Attrap’Silt (qui détecte les périmètres de sécurité de la loi Silt) et Attrap’LRA (qui détecte les créations de locaux de rétention administrative). Et le code source de notre robot est lui aussi libre.

Redonner du pouvoir aux individus

Attrap est un nouvel outil pour, par exemple, les groupes locaux Technopolice qui documentent et veillent sur le développement des technologies de surveillance, dans nos quartiers, villes et villages. Cet outil permet ainsi de rendre visible, en alertant les habitant·es, de ce que la police voudrait invisible : la surveillance de nos rues et donc de nos vies. Il permettra également de documenter qui seront les futurs cobayes de la vidéo surveillance algorithmique (VSA) dans le cadre de la loi JO qui se poursuit jusqu’en mars 2025.

Ainsi, c’est grâce à Attrap que nous avons pu par exemple visibiliser les usages de VSA cette année, y compris saisir la CNIL d’une plainte lorsque la préfecture de police de Paris a utilisé cette technologie illégalement. C’est également grâce à cet outil que le groupe Technopolice Marseille a pu documenter les usages massifs de drones dans la cité phocéenne, notamment lors des « opérations place nette », vaste séquence médiatique de Gérald Darmanin au bilan très critiqué, ou pour surveiller le centre de rétention administrative du Canet (arrêté qui vient d’être suspendu par la justice suite à un recours de l’Ordre des avocats au barreau de Marseille et de La Cimade, soutenus par le Syndicat des Avocats de France, le Syndicat de la magistrature et le Gisti).

Attrap comporte encore quelques limites. Pour l’instant, seule une trentaine de préfectures de département et deux préfectures de région sont supportées. L’ajout d’une nouvelle administration nécessite du temps puisqu’il faut s’adapter à la manière qu’a chaque préfecture de répertorier en ligne ses RAA. Également, pour la plupart des préfectures, seuls les RAA de l’année 2024 sont indexés. Mais la couverture d’Attrap s’améliorera dans les prochains mois.

Pour améliorer Attrap, nous organisons un hackathon lors du 38^ème Chaos Communication Congress (38C3) à Hambourg en Allemagne. Si vous aimez le Python, n’hésitez pas à venir ! Mais si vous n’êtes pas au 38C3, vous pouvez également vous rendre sur notre canal Matrix dédié pour commencer à contribuer ! 🤓

À l’avenir, d’autres fonctionnalités seront également ajoutées. Nous prévoyons notamment d’ajouter un système de veille, qui vous permettra d’être notifié·e par email des derniers résultats sans avoir à créer vous-même votre propre robot de veille.

Par cet outil, nous souhaitons donner plus de pouvoirs aux personnes concernées par les décisions préfectorales. Vous pouvez dès aujourd’hui avoir un aperçu des mesures les moins acceptables que les préfectures ont tendance à enterrer au fond de leurs RAA : interdictions de manifestations, vidéosurveillance, drones, vidéosurveillance algorithmique, interdictions de festivals de musique clandestins, mesures de police justifiées par des appels au « zbeul » sur les réseaux sociaux, etc.

Nous espérons qu’Attrap permettra de mieux visibiliser l’action locale (et les abus) de l’État. L’opacité entretenue par les préfectures vient de perdre un peu de terrain. Pour nous aider à continuer nos actions, vous pouvez nous faire un don. Et si vous voulez contribuer à Attrap, rendez-vous sur le canal Matrix dédié.

Depuis 2021, nous documentons via notre campagne France Contrôle les algorithmes de contrôle social utilisés au sein de nos administrations sociales. Dans ce cadre, nous avons en particulier analysé le recours aux algorithmes de notation. Après avoir révélé que l’algorithme utilisé par la CAF visait tout particulièrement les plus précaires, nous démontrons, via la publication de son code¹Plus précisément, nous avons eu accès à l’ensemble des odds ratio associés aux variables, ce qui nous a permis de rétro-ingéniérer le code de l’algorithme., que l’Assurance Maladie utilise un algorithme similaire ciblant directement les femmes en situation de précarité.

Depuis 2018, un algorithme développé par l’Assurance Maladie (CNAM) attribue une note, ou score de suspicion, à chaque foyer bénéficiant de la Complémentaire Santé Solidaire gratuite (C2SG), soit 6 millions de personnes parmi les plus pauvres de France²La C2S gratuite (C2SG) est une complémentaire santé gratuite accordée sous conditions de revenus et de composition familiale. Réservée aux foyers les plus précaires, elle bénéficiait, en 2023, à 5,9 millions de personnes (voir ici). Le plafond annuel de ressources de la C2SG a été fixé à 9 719 € pour une personne seule, en métropole, au 1^er avril 2023, modulable en fonction de la composition du foyer du demandeur (voir ici). Attribuée au niveau du foyer et non au niveau individuel, elle sert à couvrir tout ou partie des frais restant à la charge de l’assuré·e. La C2S peut aussi être soumise à participation financière en cas de revenus légèrement supérieurs (1,5 million de personnes).. Cette note sert à sélectionner les foyers devant faire l’objet d’un contrôle. Plus elle est élevée, plus la probabilité qu’un foyer soit contrôlé est grande. Suite à une erreur de la CNAM, nous avons pu avoir accès au code source de cet algorithme que nous rendons public avec cet article. Le constat est accablant.

L’algorithme cible délibérément les mères précaires. Ces dernières, ouvertement présentées dans des documents officiels par les responsables de la CNAM comme étant « les plus à risques d’anomalies et de fraude »³Voir ce document de présentation du modèle de datamining en « Comité de Direction Fraude » le 11 janvier 2020. C’est ce document qui a été mal occulté par les équipes de la CNAM., reçoivent un score de suspicion plus élevé que le reste des assuré·es. En retour, elles subissent un plus grand nombre de contrôles. Notons que les – trop rares – témoignages dont nous disposons montrent que ces contrôles peuvent notamment aboutir à des suspensions abusives de couverture santé entraînant des ruptures d’accès aux soins aux conséquences particulièrement graves, et ce, pour l’ensemble des ayants droit du foyer dont les enfants⁴Si la violence des contrôles organisés par la CAF sont particulièrement bien documentés – voir notamment les travaux des collectifs Changer de Cap et Stop Contrôles –, il n’existe pas, à notre connaissance, de travail équivalent sur les contrôles CNAM. Nous avons cependant pu échanger avec des associations de défense des droits des assuré·es qui ont confirmé l’existence de suspensions abusives de couverture santé..

Stigmatiser les femmes précaires

« Première demande dont le demandeur est une femme de plus de 25 ans avec plus d’un majeur et au moins un mineur dans le foyer »⁵Voir ce document de présentation du modèle de datamining en « Comité de Direction Fraude » le 11 janvier 2020. C’est ce document qui a été mal occulté par les équipes de la CNAM.. Voici, mot pour mot, comment est décrit, au détour d’une slide PowerPoint, ce que les responsables de la CNAM appellent le « profil-type du fraudeur »⁶L’expression « profil-type du fraudeur » est tirée du rapport 2020 de lutte contre la fraude de l’Assurance Maladie disponible ici.. C’est ce « profil-type » que l’algorithme est chargé d’aller détecter parmi les assuré·es. Plus une personne se rapproche de ce profil, plus son score de suspicion est élevé et sa probabilité d’être contrôlée est grande.

L’analyse du code de l’algorithme vient confirmer cette description. Parmi les variables utilisées par l’algorithme et augmentant le score de suspicion, on trouve notamment le fait d’être une femme, d’avoir des enfants mineurs ou d’être âgé·e de plus de 25 ans⁷Un premier modèle a été utilisé par l’Assurance Maladie entre 2018 et 2021. Visant à prédire le risque d’indus, il est basé sur une régression logistique simple comprenant 5 variables en entrée, dont le sexe, l’âge ou la composition du foyer. En 2021, ce modèle a été modifié à la marge. L’entraînement semble être réalisé dans les « règles de l’art », à partir de la sélection aléatoire de plusieurs milliers de dossiers, envoyés aux équipes de contrôle puis utilisés comme base d’apprentissage. Pour plus de détails, voir l’analyse sur notre Gitlab..

Si cet algorithme ne fait pas directement apparaître de critères liés à la précarité économique, c’est tout simplement que ce critère est déjà présent de base dans la définition de la population analysée. Bénéficiaire de la C2SG, cette « femme de plus de 25 ans » fait partie des 6 millions de personnes les plus pauvres de France, dont la majorité est allocataire du RSA et/ou privée d’emploi⁸Pour une présentation du public concerné par la C2SG, voir notamment le rapport annuel 2023 portant sur la Complémentaire Santé Solidaire de la Direction de la Sécurité Sociale disponible ici..

Vers un ciblage des personnes malades ou en situation de handicap ?

En complément du code de l’algorithme utilisé depuis 2018, nous avons obtenu celui d’un modèle expérimental développé en vue d’évolutions futures. En plus de cibler les mères précaires, ce modèle ajoute aux critères venant augmenter le score de suspicion d’un·e assuré·e le fait d’être en situation de handicap (« bénéficier d’une pension d’invalidité »), d’être malade (être « consommateur de soin » ou avoir « perçu des indemnités journalières », c’est-à-dire avoir été en arrêt maladie) ou encore… d’être « en contact avec l’Assurance Maladie »⁹Voir ce document de présentation du modèle de datamining en « Comité de Direction Fraude » le 11 janvier 2020. C’est ce document qui a été mal occulté par les équipes de la CNAM. Ajoutons qu’il est possible que les équipes de la CNAM aient réalisé des traitements illégaux pour arriver à ces tristes conclusions. Si le modèle alternatif nécessite des croisements de données illégaux – rappelons par ailleurs qu’il est question de données de santé – il est légitime de s’interroger sur la base légale à partir de laquelle son « efficience » a pu être testée..

Une précision s’impose. Le fait que ce modèle expérimental n’ait pas été généralisé n’est en rien lié à un sursaut de décence de la part de la CNAM. Son « efficience » fut au contraire vantée dans des documents distribués lors de sa présentation en « Comité de direction Fraude » début 2020¹⁰Voir ce document de présentation du modèle de datamining en « Comité de Direction Fraude » le 11 janvier 2020. C’est ce document qui a été mal occulté par les équipes de la CNAM.. Le seul problème, y expliquent les équipes de statisticien·nes de la CNAM, est que son utilisation n’est pas légale car ce nouveau modèle nécessiterait un « croisement de données non autorisé ». Pour pouvoir le mettre en place, les équipes cherchent à appâter les dirigeant⸱es de la CNAM afin de gagner leur appui pour obtenir le changement réglementaire nécessaire à la mise en place de ce croisement de données¹¹Le croisement demandé semble concerner notamment la base SIAM Erasme, soit une base de données nominatives particulièrement intrusives puisque portant sur les dépenses de santé. Voir ce rapport de la Cour des Comptes. L’accès aux données des comptes bancaires semble aussi être au centre des « limitations réglementaires » empêchant la CNAM de généraliser les modèles expérimentaux..

Opacité et indécence

S’il est une chose cruciale que montrent les documents que nous rendons publics, c’est que les dirigeant⸱es de la CNAM sont parfaitement au courant de la violence des outils qu’ils et elles ont validé. Nul besoin d’être expert·e en statistique pour comprendre les descriptions retranscrites ci-dessus relatives du « profil-type du fraudeur »¹²L’expression « profil-type du fraudeur » est tirée du rapport 2020 de lutte contre la fraude de l’Assurance Maladie disponible ici. que l’algorithme est chargé de cibler.

Mais plutôt que de s’y opposer, les responsables de la CNAM ont préféré utiliser l’opacité entourant son fonctionnement pour en tirer profit. Technique « à la pointe de la technologie », « intelligence artificielle » permettant une « détection proactive » de la fraude, outil prédictif « à la Minority Report » : voici comment, au gré de rapports officiels ou d’interventions publiques, ce type d’outil est vanté¹³Ces citations se réfèrent globalement à l’ensemble des algorithmes de notation utilisé par la CNAM à des fins de contrôle, ce qui inclut tant l’algorithme de notation des bénéficiaires de la C2SG que les algorithmes utilisé pour le profilage et le contrôle des professionnels de santé. Voir le site de l’assurance maladie, le rapport annuel 2021 de lutte contre la fraude à l’assurance maladie disponible ici et l’article publié en 2022 sur Challenges, « Pour débusquer les fraudeurs, la Sécu met le paquet sur l’IA et les cyber-enquêteurs » et le 30 septembre 2022 disponible ici.. L’absence de transparence vis à vis du grand public quant aux critères de ciblage de l’algorithme permet de masquer la réalité des politiques de contrôles. Cette situation permet alors aux dirigeant.es de l’Assurance Maladie de faire briller leurs compétences gestionnaires et leur capacité d’innovation sur le dos des plus précaires.

Au caractère indécent d’une telle présentation, ajoutons ici qu’elle est en plus mensongère. Car, contrairement à la manière dont il est présenté, l’algorithme n’est pas construit pour détecter les seules situations de fraudes. La documentation technique montre qu’il est entraîné pour prédire le fait qu’un dossier présente ce que l’Assurance Maladie appelle une « anomalie », c’est à dire le fait que les revenus d’un·e assuré·e dépasse le plafond de revenus de la C2S¹⁴Pour qu’une anomalie soit déclarée comme fraude, il faut que le niveau de revenu constaté après contrôle soit supérieur à 3 fois le plafond de la C2S. Voir notamment le rapport annuel 2021 de lutte contre la fraude disponible ici.. Or seule une partie de ces « anomalies » – lorsque l’écart entre les revenus et le plafond dépasse un certain montant – est classifiée comme fraude par l’Assurance-Maladie. Tout laisse à penser que la majorité des « anomalies » détectées par l’algorithme résulte avant tout d’erreurs involontaires, liées à la complexité des critères d’attribution de la C2SG qui inclut notamment l’ensemble des revenus dont le foyer dispose, et ce, jusqu’aux cadeaux et dons familiaux¹⁵Si nous n’avons pu trouver de chiffres précis quant à la proportion d’« anomalies » liées à des erreurs involontaires dans le cas de la C2SG, nous nous basons sur les études existantes portant sur l’origine des trop-perçus liés au Revenu de Solidarité Active (RSA) dont les conditions d’attribution – nonobstant la fréquence trimestrielle ou annuelle des déclarations – sont similaires à celle de la C2SG. Or, les études portant sur les RSA démontrent sans exception que la très grande majorité des trop-perçus sont liés à des erreurs déclaratives liés à la complexité déclarative de cette prestation. Plusieurs de ces études sont citées dans cet article..

Cette communication est finalement à mettre en perspective face aux enjeux financiers. En 2022, le directeur de l’Assurance Maladie annonçait que la fraude à l’ensemble de la C2S était estimée à 1% de son coût, soit 25 millions sur plus de 2,5 milliards d’euros¹⁶En 2022, le directeur de l’Assurance Maladie a présenté les premières estimations devant le Sénat. Son audition est disponible ici. Voir aussi le rapport annuel de lutte contre la fraude de l’Assurance Maladie 2021 disponible ici. Les chiffres des montants de la C2S (gratuite et avec participation financière) gérés par la CNAM sont disponibles dans le rapport annuel 2023 de la direction de la sécurité sociale.. En revanche, le taux de non-recours à cette prestation sociale était lui estimé à plus de 30%, soit un « gain » d’environ… un milliard d’euros pour la CNAM¹⁷Voir Mathilde Caro, Morgane Carpezat, Loïcka Forzy, « Le recours et le non-recours à la complémentaire santé solidaire. Les dossiers de la Drees 2023 », disponible ici.. Ces chiffres soulignent l’hypocrisie politique de l’importance de lutter contre la fraude à la C2SG – et la nécessité des outils dopés à l’intelligence artificielle – tout en démontrant que le recours à de tels outils est avant tout une question d’image et de communication au service des dirigeant·es de l’institution.

Technique et déshumanisation

Il est une dernière chose que mettent en lumière les documents que nous rendons public. Rédigés par les équipes de statisticien·nes de la CNAM, ils offrent un éclairage particulièrement cru sur l’absence flagrante de considération éthique par les équipes techniques qui développent les outils numériques de contrôle social. Dans ces documents, nulle part n’apparaît la moindre remarque quant aux conséquences humaines de leurs algorithmes. Leur construction est abordée selon des seules considérations techniques et les modèles uniquement comparés à l’aune du sacro-saint critère d’efficience.

On perçoit alors le risque que pose la numérisation des politiques de contrôle dans le poids qu’elle donne à des équipes de data-scientists coupées des réalités de terrain – ils et elles ne seront jamais confrontées à la réalité d’un contrôle et à leurs conséquences en termes d’accès aux soins – et nourries d’une vision purement mathématique du monde.

On appréhende aussi l’intérêt d’une telle approche pour les responsables des administrations sociales. Ils et elles n’ont plus à faire face aux éventuelles réticences des équipes de contrôleur·ses lors de la définition des politiques de contrôle¹⁸Sur la contestation lors de l’élaboration de politiques de contrôle par les équipes internes à la CNAF, voir le livre Contrôler les assistés. Genèses et usage d’un mot d’ordre, de Vincent Dubois, page 250.. Ils et elles n’ont d’ailleurs même plus à expliquer la façon dont ces politiques ont été construites aux équipes de contrôleur·ses, à qui il est simplement demandé de contrôler les dossiers les moins bien notés par un algorithme-boîte-noire.

Le problème n’est pas technique mais politique

Depuis maintenant deux ans, nous documentons la généralisation des algorithmes de notation à des fins de contrôle au sein de notre système social. À l’instar de la CNAM, nous avons montré qu’ils étaient aujourd’hui utilisés à la Caisse Nationale des Allocations Familiales (CNAF), l’Assurance-Vieillesse ou encore la Mutualité Sociale Agricole et ont été expérimentés à France Travail.

Depuis deux ans, nous alertons sur les risques associés à l’essor de ces techniques, tant en termes de surveillance numérique que de discriminations et de violence institutionnelle. Surtout, nous n’avons eu de cesse de répéter que, quelques soient les institutions sociales, ces algorithmes ne servent qu’un seul objectif : faciliter l’organisation de politiques de harcèlement et de répression des plus précaires, et ce grâce à l’opacité et au vernis scientifique qu’ils offrent aux responsables des administrations sociales.

C’est désormais chose prouvée pour deux administrations. Pour la CNAM avec cet article. Mais aussi pour la CNAF, dont nous avons publié il y a tout juste un an le code de l’algorithme de notation alimenté par les données personnelles de plus de 30 millions de personnes, et que nous avons attaqué devant le Conseil d’État en octobre dernier avec 14 autres organisations en raison du ciblage des personnes en situation de précarité, de handicap ou encore les mères isolées.

Nous espérons que cet article, associé à ceux publiés sur la CNAF, finira de démontrer qu’il n’est pas nécessaire d’accéder au code de l’ensemble de ces algorithmes pour connaître leurs conséquences sociales. Car le problème n’est pas technique mais politique.

Vendus au nom de la soi-disant « lutte contre la fraude sociale », ces algorithmes sont en réalité conçus pour détecter des trop-perçus, ou indus, dont toutes les études montrent qu’ils se concentrent sur les personnes précaires en très grande difficulté. En effet, ces indus sont largement le fait d’erreurs déclaratives involontaires consécutives à deux principaux facteurs: la complexité des règles d’attribution des minima sociaux (RSA, AAH, C2SG…) et des situations personnelles de grande instabilité (personnelle, professionnelle ou administrative). Un ancien responsable de la CNAF expliquait ainsi que « Les indus s’expliquent […] par la complexité des prestations, le grand nombre d’informations mobilisées pour déterminer les droits et l’instabilité accrue de la situation professionnelle des allocataires », ce qui est avant tout le cas pour les « prestations liées à la précarité […] très tributaires de la situation familiale, financière et professionnelle des bénéficiaires »¹⁹Voir les articles d’un directeur du service « contrôle et lutte contre la fraude ». Le premier « Du contrôle des pauvres à la maîtrise des risques » a été publié en 2006 et est disponible ici. Le second est intitulé « Le paiement à bon droit des prestations sociales des CAF » publié en 2013 et disponible ici..

Autrement dit, ces algorithmes ne peuvent pas être améliorés car ils ne sont que la traduction technique d’une politique visant à harceler et réprimer les plus précaires d’entre nous.

Lutter

L’hypocrisie et la violence de ces pratiques et des politiques qui les sous-tendent doivent être dénoncées et ces algorithmes abandonnés. Quant aux responsables qui les appellent de leurs vœux, les valident et les promeuvent, ils et elles doivent répondre de leur responsabilité.

Pour nous aider à continuer à documenter ces abus, vous pouvez nous faire un don. Nous appelons également celles et ceux qui, bénéficiaires de la C2SG ou non, souhaitent agir contre cet algorithme et plus largement les politiques de contrôles de la CNAM. Assuré·es, collectifs, syndicats, employé·es de la CNAM, vous pouvez nous contacter sur algos@laquadrature.net pour réfléchir collectivement aux suites à donner à cette publication.

En cette veille de journée mondiale du refus de la misère, 15 organisations de la société civile attaquent l’algorithme de notation des allocataires des Caisses d’Allocations Familiales (CAF) en justice, devant le Conseil d’État, au nom du droit de la protection des données personnelles et du principe de non-discrimination. Ce recours en justice contre un algorithme de ciblage d’un organisme ayant mission de service public est une première.

Cet algorithme attribue à chaque allocataire un score de suspicion dont la valeur est utilisée pour sélectionner celles et ceux faisant l’objet d’un contrôle. Plus il est élevé, plus la probabilité d’être contrôlé·e est grande. Chaque mois, l’algorithme analyse les données personnelles des plus de 32 millions de personnes vivant dans un foyer recevant une prestation CAF et calcule plus de 13 millions de scores. Parmi les facteurs venant augmenter un score de suspicion on trouve notamment le fait d’avoir de faibles revenus, d’être au chômage, de bénéficier du revenu de solidarité active (RSA) ou de l’allocation adulte handicapé (AAH). En retour, les personnes en difficulté se retrouvent sur-contrôlées par rapport au reste de la population.

Notre recours devant le Conseil d’État porte tant sur l’étendue de la surveillance à l’œuvre que sur la discrimination opérée par cet algorithme envers des allocataires déjà fragilisé·es dans leurs parcours de vie. En assimilant précarité et soupçon de fraude, cet algorithme participe d’une politique de stigmatisation et de maltraitance institutionnelle des plus défavorisé·es. Les contrôles sont des moments particulièrement difficiles à vivre, générateurs d’une forte charge administrative et d’une grande anxiété. Ils s’accompagnent régulièrement de suspensions du versement des prestations, précédant des demandes de remboursements d’indus non-motivés. Dans les situations les plus graves, des allocataires se retrouvent totalement privé·es de ressources, et ce en toute illégalité. Quant aux voies de recours, elles ne sont pas toujours compréhensibles ni accessibles.

Alors que l’utilisation de tels algorithmes de notation se généralise au sein des organismes sociaux, notre coalition, regroupant des organisations aux horizons divers, vise à construire un front collectif afin de faire interdire ce type de pratiques et d’alerter sur la violence dont sont porteuses les politiques dites de « lutte contre la fraude sociale ».

« Cet algorithme est la traduction d’une politique d’acharnement contre les plus pauvres. Parce que vous êtes précaire, vous serez suspect·e aux yeux de l’algorithme, et donc contrôlé·e. C’est une double peine. » déclare Bastien Le Querrec, juriste à La Quadrature du Net.

Associations requérantes:

• La Quadrature du Net (LQDN)
• Association d’Accès aux Droits des Jeunes et d’Accompagnement vers la Majorité (AADJAM)
• Aequitaz
• Amnesty International France
• Association nationale des assistant·e·s de service social (ANAS)
• APF France handicap
• Collectif Changer de Cap
• Fondation Abbé Pierre
• Groupe d’information et de soutien des immigré·es (Gisti)
• Le Mouton numérique
• La Ligue des droits de l’Homme (LDH)
• Mouvement national des chômeurs et précaires (MNCP)
• Mouvement Français pour un Revenu de base (MFRB)
• CNDH Romeurope
• Syndicat des avocats de France (SAF)

Retrouvez l’ensemble de nos travaux sur la numérisation des administrations sociales et la gestion algorithmique des populations sur notre page de campagne France contrôle.

Les Jeux Olympiques et Paralympiques se sont achevés il y a un mois. Alors que les rues de Marseille ou de Paris et sa banlieue sont encore parsemées de décorations olympiennes désormais désuètes, les promoteurs de la surveillance s’empressent d’utiliser cet événement pour pousser leurs intérêts et légitimer la généralisation des dispositifs de vidéosurveillance algorithmique (VSA). Si nous ne sommes pas surpris, cette opération de communication forcée révèle une fois de plus la stratégie des apôtres de la Technopolice : rendre à tout prix acceptable une technologie dont le fonctionnement reste totalement opaque et dont les dangers sont complètement mis sous silence. Les prochains mois seront cruciaux pour peser dans le débat public et rendre audible et visible le refus populaire de ce projet techno-sécuritaire.

Des algos dans le métro

Comme prévu, la vidéosurveillance algorithmique a été largement déployée pendant les Jeux Olympiques. Il le fallait bien, puisque c’est au nom de ce méga événement sportif qu’a été justifiée l’« expérimentation » de cette technologie d’analyse et de détection des comportements des personnes dans l’espace public. Pour rappel, la loi du 19 mai 2023 relative aux Jeux Olympiques et Paralympiques de 2024 a permis aux préfectures d’autoriser un certain nombres d’acteurs à déployer des logiciels dopés à l’« intelligence artificielle » sur les images des caméras publiques afin de repérer un certain nombre de comportements soi-disant « suspects » et déclencher des alertes auprès des agents de sécurité ou des forces de l’ordre.

Contrairement à ce que le nom de la loi indique, cette capacité de mettre en place une surveillance algorithmique dépasse largement le moment des seuls Jeux Olympiques. Les policiers peuvent ainsi réquisitionner la VSA pour des « manifestations sportives, récréatives ou culturelles qui, par l’ampleur de leur fréquentation ou par leurs circonstances, sont particulièrement exposées à des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes ». Or, ce critère de « risque » a rapidement été apprécié de façon très large. La VSA a été déployée à l’occasion de concerts, de matchs de foot, de festivals ou encore lors du défilé du 14 juillet. Également, la durée de l’expérimentation dépasse largement celle des seuls Jeux et s’étend jusqu’en mars 2025. La ville de Cannes a ainsi annoncé qu’elle déploiera la VSA à l’occasion de cinq événements à venir : les NRJ Music Awards, le Marathon des Alpes-Maritimes, le marché de Noël, le feu d’artifice du Nouvel An et… le Marché international des professionnels de l’immobilier 2025. On le comprend, il ne s’agit pas tant de prouver un lien avec un risque particulier pour la sécurité que de trouver un prétexte pour tester ces technologies.

Mais revenons aux Jeux et à ce moment de « vraie vie » selon les termes employés par Emmanuel Macron. Que s’y est-il passé ? D’abord, les algorithmes de détection de l’entreprise Wintics ont été déployés dans 46 stations de métros et 11 gares SNCF ou RER. Comme cela avait déjà pu être le cas pour d’autres expérimentations, les stations concernées n’avaient parfois aucun rapport avec les lieux où se déroulaient les épreuves des Jeux. De nouveau, les acteurs de la surveillance tordent le cadre juridique pour le plier à leurs volontés. Aussi, alors que les pouvoirs publics sont tenus d’informer les personnes filmées qu’elles sont transformées en cobayes, ceux-ci se sont contentés du service minimum. Des petites affichettes ont été placardées dans le métro, peu visibles pour les passant⋅es dont le regard était davantage incité à lire une propagande sécuritaire « légèrement » plus grande.

En très grand à droite, l’affiche de vidéosurveillance classique, en tout petit à gauche, l’affichette VSA.

Ensuite, la VSA s’est étendue aux images de l’espace public aux alentours de 11 sites des Jeux Olympiques (comme le Stade de France ou la Place de la Concorde). Pour cette surveillance des rues, la préfecture de police n’a publié que le 30 juillet au soir l’autorisation préfectorale nécessaire à cette expérimentation, qui avait pourtant débuté… le 26 juillet. Comme on suivait cela de près, nous avons déposé une plainte auprès la CNIL, et ce afin de la pousser à faire son travail en sanctionnant l’État pour ces quatre jours de surveillance illégale. Les mêmes dispositifs de VSA ont ensuite été renouvelés lors des Jeux Paralympiques pour prendre fin le 9 septembre dernier. Depuis cette date, la course à la promotion de ces outils a repris de plus belle au sein des acteurs du système de surveillance qui n’hésitent pas à jouer des coudes pour imposer leur agenda.

Opération mal masquée

Théoriquement, la loi sur les JO prévoit que cette « expérimentation » de VSA soit soumise à une évaluation par un comité créé pour l’occasion, regroupant expert·es de la société civile, parlementaires et policiers. Ce comité est chargé d’analyser l’efficacité et l’impact de cette technologie selon des critères prévus par décret. Un rapport doit ensuite être remis au Parlement, le 31 décembre 2024 au plus tard. Si nous n’avions déjà que peu d’espoir quant à la capacité pour le comité de travailler de manière indépendante et d’être entendu dans ses conclusions, il n’empêche que celui-ci existe. Le Parlement a en effet choisi de conditionner une éventuelle pérennisation du cadre expérimental de la loi JO à son évaluation. Un garde-fou minimal dont le Conseil constitutionnel a souligné l’importance pour assurer toute éventuelle pérennisation du dispositif, qui serait alors à nouveau soumise à un examen de constitutionnalité.

Cela n’empêche pourtant pas les promoteurs de la VSA de placer leurs pions en communiquant de manière opportuniste afin de faire pression sur le comité d’évaluation et l’ensemble des parlementaires. Ainsi, le 25 septembre dernier, le préfet de police et ancien ministre Laurent Nuñez a ouvert le bal lors d’une audition par les député⋅es de la commission des lois. Sans apporter aucun élément factuel étayant ses dires, sans même faire part des très probables bugs techniques qui ont certainement émaillé le déploiement d’algorithmes de VSA qui pour certains étaient testés pour la première fois à grande échelle, il affirme alors que la VSA aurait d’ores et déjà « démontré son utilité », et appelle à sa prorogation. Et il s’emploie à minimiser les atteintes pour les libertés publiques : le préfet de police assure ainsi qu’il ne s’agirait en aucun cas de surveillance généralisée mais d’une simple aide technique pour trouver des flux anormaux de personnes. Comme si la légalisation des cas d’usage les plus problématiques de la VSA, dont la reconnaissance faciale, n’étaient pas l’un des objectifs des promoteurs de la Technopolice. Même le journal Le Monde s’est inquiété de cette déclaration de Nuñez dans un éditorial dénonçant la technique du « pied dans la porte » utilisée par le préfet.

Ensuite est venu le tour du gouvernement. Dans sa déclaration de politique générale, Michel Barnier a prononcé la phrase suivante, floue au possible : « Le troisième chantier est celui de la sécurité au quotidien : les Français nous demandent d’assurer la sécurité dans chaque territoire. Nous généraliserons la méthode expérimentée pendant les Jeux olympiques et paralympiques. ». À aucun moment le Premier ministre ne précise s’il a en tête la VSA ou la concentration ahurissante de « bleus » dans les rues, ou d’autres aspects du dispositif policier massif déployé cet été. Cela n’a pas empêché France Info de publier un article largement repris dans les médias annonçant, sur la base de cette déclaration, que le gouvernement envisageait de prolonger l’expérimentation de la vidéosurveillance algorithmique. En réalité, il s’agissait d’une « interprétation » venant du ministère de l’Intérieur, pressé d’imposer l’idée d’une pérennisation, quitte à faire fi du cadre légal de l’évaluation (le nouveau ministre Bruno Retailleau ayant bien fait comprendre que le respect du droit n’était pas sa tasse de thé). Résultat de cette opération d’intox de Beauvau : Matignon, soucieux de ne pas froisser le comité, « rectifie » auprès de France Info et affirme que le gouvernement attendra bien le rapport du comité. Bref, des petites phrases et des rétropédalages qui permettent au final au gouvernement de miser sur les deux tableaux : d’un côté, il tente de préempter le débat en imposant d’emblée la perspective d’une pérennisation et, de l’autre, il s’efforce de sauver les apparences, en laissant entendre qu’il suivra scrupuleusement le processus défini dans la loi. Reste qu’à Beauvau et très certainement aussi à Matignon, la pérennisation de la VSA est un objectif partagé. Le désaccord, si désaccord il y a, semblerait plutôt porter sur le tempo des annonces.

Tout ceci nous rappelle une chose : la bataille qui se joue maintenant est celle de l’acceptabilité de la VSA. Il s’agit pour les pouvoirs publics de fabriquer le consentement de la population à une technologie présentée comme évidente et nécessaire, alors qu’elle porte en elle un projet d’accaparement sécuritaire de l’espace public, de discrimination et de contrôle social, portés à la fois par une industrie de la surveillance en croissance et un régime de moins en moins démocratique.

Pour vous informer sur la VSA et vous y opposer, retrouvez notre brochure sur le sujet et d’autres ressources sur notre page de campagne. Et pour soutenir notre travail, n’hésitez pas à faire un don.

Le dirigeant de la plateforme Telegram, Pavel Durov, a été placé en garde à vue il y a une dizaine de jours puis mis en examen mercredi dernier. Le parquet de Paris, qui communique opportunément sur l’affaire depuis le début, met en avant l’absence de modération sur la plateforme pour justifier les poursuites. Au-delà de cette question de modération et sans tomber dans la défense d’un service en ligne peu recommandable, les quelques éléments qu’a bien voulu rendre public le parquet et sa manière de présenter l’affaire interrogent fortement, dans un contexte de mise sous pression de la France et de l’Union européenne des messageries interpersonnelles et des réseaux sociaux.

Une confusion entre messagerie et réseau social entretenue par le parquet

Telegram est à la fois une messagerie personnelle et un réseau social. C’est une messagerie personnelle puisque ses utilisateur·rices peuvent avoir des conversations privées, via des discussions individuelles ou des groupes fermés. En cela, Telegram est similaire, sur le principe, à des SMS ou des messages sur Signal ou Whatsapp. Mais c’est également un réseau social dans la mesure où Telegram offre une fonctionnalité de canaux publics, dans lesquels il est possible de diffuser massivement un contenu, à un nombre très large de personnes qui peuvent s’abonner au canal.

Dans son dernier communiqué de presse sur l’affaire Telegram, le parquet de Paris se borne pourtant à présenter Telegram comme « une application de messagerie instantanée », ce qui laisse penser que la justice ne s’intéresserait qu’aux messages privés. Pourtant, les faits reprochés à la plateforme démontrent que c’est bien l’aspect « réseau social » qui est en cause. Cette confusion est étonnante puisqu’on ne pourra pas reprocher la même chose si les messages sont publics ou s’ils sont privés.

L’absence de modération des contenus publics signalés à Telegram est un problème. Comme le rappelait Access Now en début de semaine dernière, cette critique est faite à Telegram depuis plusieurs années. Mais l’absence de modération reprochée à la plateforme ne peut que concerner des contenus publiquement accessibles, c’est-à-dire ceux publiés sur des canaux publics de Telegram ou des conversations de groupe largement ouvertes. En effet, les intermédiaires techniques comme Telegram bénéficient d’un principe d’irresponsabilité du fait des usages faits par les utilisateur·rices de leur service, irresponsabilité qui ne peut être levée que lorsque la plateforme a été notifiée du caractère illicite d’un contenu qu’elle héberge et qui, malgré cette notification, a décidé de maintenir en ligne ce contenu. Pour que Telegram puisse avoir connaissance que certains messages sont illicites, il faut donc que ces derniers soient publics¹Pour faciliter la compréhension du propos, on écartera volontairement le cas très particulier d’un message privé non-sollicité et illicite qui serait notifié par le destinataire : dans ce cas très précis, Telegram devrait également retirer de sa plateforme le contenu. afin de pouvoir être notifiés par des tiers.

Or, la communication du parquet est floue puisqu’elle entretient une confusion entre des messages privés et des messages publics. En lisant ses éléments de langage, on a le sentiment que le parquet reprocherait à Telegram de ne pas modérer les conversations privées. Une telle « modération » de contenus privés ne serait pourtant possible qu’en forçant la plateforme à surveiller de manière généralisée l’ensemble des contenus échangés sur son service, au mépris des principes éthiques et politiques les plus fondamentaux de secret des correspondances et de droit à la vie privée, et qui est explicitement interdit par le droit aujourd’hui.

Une affaire à remettre dans un contexte plus large

Notre crainte d’un parquet qui tenterait de forcer une interprétation du droit allant dans le sens d’une obligation de surveillance des conversations privées est notamment fondée par un contexte français de mise sous pression des messageries et des moyens de communication en général. Dans son dernier communiqué, le parquet reprend le même récit que dans les affaires Encrochat ou SkyECC : des téléphones avec Telegram sont apparus dans des dossiers criminels, ce qui justifierait l’enquête actuelle qui, aujourd’hui, conduit à poursuivre le dirigeant de la plateforme. Or, dans ces affaires Encrochat et SkyECC, la police française n’a pas hésité à compromettre l’intégralité de ces plateformes au motif, décidé au doigt mouillé, qu’elles seraient massivement utilisées par la grande criminalité. Le tri entre ce qui intéresse l’enquête pénale et le reste est fait après avoir décidé de la surveillance de toutes les communications échangées sur ces plateformes. Une telle logique est dangereuse : estimer qu’un service de messagerie pourrait être compromis dans son ensemble parce que la police estime que ses utilisateur·rices sont massivement des criminels est la porte ouverte aux pires abus : une surveillance de masse, décidée sur la base des seules analyses de la police (les affaires Encrochat et SkyECC ont montré que la présence d’un juge d’instruction n’est pas de nature à empêcher ces dérives) alors que n’importe quel service en ligne sera nécessairement utilisé un jour ou l’autre pour des activités illicites. Voici un scoop pour le parquet de Paris : Signal, Whatsapp ou Olvid sont aussi utilisées par des criminels.

La France n’est pas la seule à s’attaquer aux messageries. Depuis 2 ans et demi, la Commission européenne tente de forcer les messageries privées à surveiller automatiquement les conversations de leurs utilisateur·rices, avec son projet de règlement dit « CSAR », également appelé « Chat Control ». Malgré les multiples scandales autour de ce texte, la commissaire européenne Ylva Johansson continue son passage en force alors qu’elle est accusée de faire la promotion de l’industrie de la surveillance et de manipuler l’opinion en faisant de la communication en faveur du CSAR sur les réseaux sociaux grâce au ciblage de certaines personnes en fonction de leurs opinions politiques. Et dans cette bataille, la Commission européenne a réussi à rallier la France à sa position. La légitimité du CSAR est d’autant plus questionnable qu’il existe plétore d’autres moyens pour lutter contre les abus sur enfant que la surveillance des communications : éducation, prévention, réforme des institutions pour accompagner les victimes, …

À côté de cette mise sous pression des messageries, on assiste également en France à une attaque sans précédent contre les réseaux sociaux. Il y a à peine un an, alors que des violences urbaines éclataient suite au meurtre par un policier d’un adolescent en banlieue parisienne, le gouvernement accusait les réseaux sociaux de tous les maux. Emmanuel Macron annonçait qu’il voulait plus de pouvoir entre les mains de la police pour que celle-ci soit autorisée à bloquer l’accès à l’intégralité d’un réseau social en temps de crise, ou a minima pouvoir désactiver certaines fonctionnalités. En plein débat sur la loi SREN, et alors que le rapporteur du texte au Sénat était prêt à offrir ce nouveau pouvoir à la police, le gouvernement s’adonnait alors à un chantage inédit envers les plateformes consistant à brandir la menace d’une plus grande régulation des réseaux sociaux (avec plus de pouvoirs de censure policière) si ces derniers ne collaborent pas volontairement avec le gouvernement pour retirer des contenus. C’est dans ce contexte que Snapchat a admis devant l’Assemblée nationale avoir, suite à une convocation du ministère de l’intérieur, collaboré activement avec la police pour retirer des contenus dont l’illégalité n’était pas flagrante.

Pire encore, au moment des révoltes en Nouvelle-Calédonie en mai dernier, c’est le blocage de tout Tiktok qui a été exigé par le gouvernement à l’opérateur public calédonien qui fournit Internet sur l’archipel. Par une décision non-écrite, dont la justification fluctuait en fonction des commentaires dans la presse, le gouvernement a fini par trouver comme excuse à cette censure le fait que des contenus violents (mais probablement pas illégaux !) étaient diffusés sur Tiktok.

Avec cette affaire Telegram, nous espérons donc que le parquet n’est pas en train de passer à l’étape suivante, à savoir reprocher une complicité de Telegram du fait que des messages privés illicites, dont la plateforme ne pouvait avoir connaissance sans violer le secret des correspondances, auraient été échangés. À défaut d’avoir plus d’informations sur l’affaire, en particulier tant que nous n’en saurons pas plus sur la nature des messages ou des publications qui sont ciblées par le parquet, nous ne pouvons, au regard du contexte dans lequel s’inscrit cette affaire, exclure cette grave hypothèse.

L’affaire Telegram est aussi une attaque contre le chiffrement

L’affaire Telegram ne se résume pas à ces problèmes de modération : le parquet de Paris a précisé que l’affaire concerne également le « refus de communiquer, sur demande des autorités habilitées, les informations ou documents nécessaires pour la réalisation et l’exploitation des interceptions autorisées par la loi ». Il fait ici référence à l’article L. 871-2 du code de la sécurité intérieure, qui exige des opérateurs et des plateformes qu’elles collaborent avec l’autorité judiciaire en lui transmettant les « informations ou documents qui [lui] sont nécessaires pour la réalisation et l’exploitation des interceptions autorisées par la loi ». Autrement dit, opérateurs et plateformes doivent divulguer toute information qui permettrait une interception des communications dans le cadre d’une procédure judiciaire. C’est cet article qui, par exemple, oblige un opérateur téléphonique à donner à la police les éléments nécessaires pour mettre sur écoute un de ses clients. Mais la formulation de cette obligation est extrêmement floue, ouvrant la voie à des interprétations très larges²Cette disposition a d’ailleurs servi à couvrir l’accès illégal à des centaines de milliers de données de connexion par les services de renseignement intérieur avant leur légalisation en 2013 (Jean-Jacques Urvoas et Patrice Verchère, Rapport en conclusion des travaux d’une mission d’information sur l’évaluation du cadre juridique applicable aux services de renseignement, Commission des Lois de l’Assemblée nationale, 14 mai 2013, https://www.assemblee-nationale.fr/14/controle/lois/renseignement.asp). : au-delà du cas d’écoutes téléphoniques, elle s’applique également à d’autres formes de communications, et notamment au cas d’écoutes de l’ensemble du trafic Internet d’un internaute.

Pour comprendre quels documents Telegram pourrait divulguer pour qu’une interception judiciaire soit mise en place, il faut comprendre son fonctionnement technique. Lorsqu’un message est transmis via Telegram, les données sont envoyées depuis le téléphone ou l’ordinateur (c’est le « client ») jusqu’aux serveurs de Telegram. Ces messages du client aux serveurs sont chiffrés à l’aide de deux couches. La première couche de chiffrement utilisée est le fait que la connexion entre le client et les serveurs de Telegram est chiffrée par la technologie HTTPS. Puis, les messages entre le client et le serveur sont chiffrés par une deuxième couche de chiffrement, à l’aide d’un protocole maison appelée MTProto³Pour en savoir plus sur le chiffrement de Telegram, voir la synthèse de Matthew Green sur son blog et la présentation technique faite par Telegram. et qui fonctionne de manière assez similaire à HTTPS. Enfin, dans un cas très marginal activable sur demande explicite de l’internaute via la fonction de « message secret » (disponible uniquement pour les discussions individuelles), une fonctionnalité optionnelle de chiffrement de bout-en-bout est utilisée comme troisième couche de chiffrement entre deux clients.

Quels documents ou informations Telegram pourrait-il alors divulguer pour permettre à la justice de procéder à des interceptions ? Rien d’autre que les clés de chiffrement entre ses serveurs et chaque utilisateur·rice utilisées pour les deux premières couches de chiffrement : la clé privée du certificat HTTPS utilisé pour la première couche de chiffrement, et la clé privée du serveur utilisée par la deuxième couche de chiffrement. Lorsque la troisième couche de chiffrement n’est pas utilisée, une compromission des deux premières permet d’accéder aux conversations. Autrement dit, la seule manière pour l’autorité judiciaire de faire des interceptions de communications serait d’obtenir ces clés qui servent à chiffrer toutes les communications vers les serveurs de Telegram, donc d’obtenir de quoi violer le secret de toute correspondance sur Telegram qui ne serait pas également chiffrée par la fonctionnalité optionnelle de « message secret ».

Alors que le refus de communiquer ces informations est lourdement puni de deux ans d’emprisonnement et de 150 000 € d’amende, il semble qu’aucune condamnation n’ait jamais été prononcée (nous n’avons en tout cas trouvé aucune décision par un tribunal), probablement parce que forcer les plateformes à une telle compromission pose de sérieuses questions de conformité à la Constitution, notamment au regard du droit à la vie privée et du droit à la liberté d’expression.

Ici encore, en absence de plus de détails sur l’affaire, nous ne pouvons qu’émettre des hypothèses. Mais notre crainte est fondée sur un contexte d’attaques incessantes contre le chiffrement. Il faut ici rappeler l’affaire du 8-Décembre, dans laquelle La Quadrature s’est largement mobilisée aux côtés de plus de 130 personnes et organisations : le jugement de première instance a retenu, pour caractériser un soi-disant comportement clandestin justifiant une condamnation, le fait que les personnes mises en cause utilisaient des messageries chiffrées. Signalons également les attaques du gouvernement contre la confidentialité des communications : après l’attentat d’Aras, Gérald Darmanin surfait sur ce drame pour exiger l’ajout de portes dérobées dans les messageries, ciblant explicitement « Signal, Whatsapp, Telegram », tout en reconnaissant que le droit ne l’autorisait actuellement pas. Le parquet serait-il en train de forcer une autre interprétation du droit ? Nous le craignons.

De manière toute aussi choquante, le parquet invoque également une vieille obligation de déclarer « la fourniture ou l’importation d’un moyen de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité », qui exige notamment de mettre à disposition le code source dudit outil à l’ANSSI. Le fait de ne pas procéder à cette déclaration est punie d’un an d’emprisonnement et d’une amende de 15 000 euros. Il s’agit d’un délit archaïque en 2024, qui n’a d’ailleurs jamais été sanctionné à notre connaissance. Et pour cause : réguler ainsi les outils de chiffrement est anachronique, alors que le chiffrement est omniprésent au quotidien. Nouveau scoop pour le parquet : chaque responsable d’un site web sécurisant en HTTPS la connexion des internautes à son service fournit ou importe un « moyen de cryptologie ».

Des questions en suspens et un parquet à la manœuvre communicationnelle

Dans cette affaire, on observe également une communication millimétrée de la part du parquet. Ainsi, dès le lendemain de la garde à vue du dirigeant de Telegram, le parquet faisant fuiter par l’AFP le fait qu’était reproché à Telegram une absence de modération. Alors que, on l’a dit plus haut, l’absence de modération sur les canaux publics de Telegram est effectivement un problème, les « sources proches du dossier » (comprendre : le parquet) passaient sous silence les charges relatives à la fourniture ou l’importation d’un « moyen de cryptologie » sans déclaration et le délit de ne pas divulguer les documents permettant la mise en place d’interceptions judiciaires.

Autre coup de communication étrange du parquet : il semble avoir fait fuiter via Politico des extraits de documents judiciaires qui indiqueraient que « la messagerie a laissé “sans réponse” une demande d’identification d’un de ses utilisateurs dans une enquête de la police française sur des faits de pédopornographie »⁴Par souci de rigueur, on rappellera que cette fuite pourrait aussi provenir de la défense de Pavel Durov. Mais cela est peu probable compte tenu de la description négative de Telegram faite par cette fuite.. Cette information est, depuis, reprise un peu partout dans la presse. Il est vrai qu’une plateforme comme Telegram est tenue de communiquer, sur demande de la justice, les informations qu’elle détient sur un de ses utilisateur·rices (souvent il s’agit de l’adresse IP associée à un compte). Mais ne pas répondre à une telle réquisition judiciaire n’est sanctionné au maximum que d’une amende de 3750€. Il ne s’agit donc pas de faits qui justifient une garde à vue de 96 heures (ce qui n’est possible que pour des faits de criminalité grave).

On peut supposer qu’il est vrai que Telegram n’a pas répondu à une réquisition judiciaire demandant d’identifier un·e de ses utilisateur·rices ; ce serait cohérent avec la politique d’absence de retrait de contenu de la plateforme. Mais il ne s’agit ici que d’un élément de contexte, et non une incrimination : le communiqué de presse du parquet, qui liste les faits reprochés au dirigeant de Telegram ne fait d’ailleurs pas référence à l’absence de réponse aux réquisitions judiciaires.

Beaucoup de questions restent donc encore sans réponse. En l’absence d’éléments précis sur l’affaire, on ne peut à ce stade faire que des hypothèses. Mais les quelques éléments distillés par le parquet, qui n’est pas neutre dans cette affaire puisqu’il conduit l’enquête, sont préoccupants. Telegram n’est pas une plateforme recommandable : non-sécurisée, centralisée, aux mains d’une entreprise opaque, elle est aux antipodes des valeurs que défend La Quadrature. Mais comme lorsque le réseau social toxique Tiktok a été bloqué en Nouvelle-Calédonie, il s’agit ici de s’opposer à un dévoiement des règles du droit pénal dont les prochaines victimes seront les personnes que nous défendons : les internautes soucieux·ses de protéger leur vie privée, les messageries réellement chiffrées, les réseaux sociaux décentralisés. Alors pour nous permettre de continuer de jouer notre rôle de vigie, vous pouvez nous faire un don.

Plus de trois ans après notre recours, le tribunal administratif d’Orléans vient de confirmer que l’audiosurveillance algorithmique (ASA) installée par l’actuelle mairie d’Orléans – des micros installés dans l’espace public et couplés à la vidéosurveillance, destinés à repérer des situations dites anormales – est illégale. Ce jugement constitue la première victoire devant les tribunaux en France contre ce type de surveillance sonore et constitue un rappel fort des exigences en matière de droits fondamentaux pour les autres communes qui seraient tentées par de tels dispositifs.

Une claque pour Orléans et Sensivic

La ville d’Orléans et l’entreprise Sensivic se sont vu rappeler la dure réalité : déployer des micros dans l’espace public pour surveiller la population n’est pas légal. Les allégations de Sensivic d’un soi-disant produit « conforme RGPD » et les élucubrations d’Orléans en défense pour faire croire qu’il ne s’agirait que d’un inoffensif « détecteur de vibrations de l’air » n’auront servi à rien.

Dans son jugement, le tribunal administratif est sévère. Il commence par battre en brèche l’argument de la commune qui affirmait qu’il n’y avait pas de traitement de données personnelles, en rappelant que les dispositifs de micros couplés aux caméras de vidéosurveillance « collectent et utilisent ainsi des informations se rapportant à des personnes susceptibles, au moyen des caméras avec lesquelles ils sont couplés, d’être identifiées par l’opérateur ». Il en tire alors naturellement la conclusion que ce dispositif est illégal parce qu’il n’a pas été autorisé par la loi.

Mais le tribunal administratif va plus loin. Alors que l’adjoint à la commune d’Orléans chargé de la sécurité, Florent Montillot, affirmait sans frémir que cette surveillance permettrait de « sauver des vies », la justice remet les pendules à l’heure : « à […] supposer [le dispositif d’audiosurveillance algorithmique] utile pour l’exercice des pouvoirs de police confiés au maire […], il ne peut être regardé comme nécessaire à l’exercice de ces pouvoirs ». Autrement dit : « utilité » ne signifie ni proportionnalité ni légalité en matière de surveillance. Cela va à rebours de tout le discours politique déployé ces dernières années qui consiste à déclarer légitime tout ce qui serait demandé par les policiers dès lors que cela est utile ou plus simple sur le terrain. Cela a été la justification des différentes lois de ces dernières années telle que la loi Sécurité Globale ou la LOPMI.

Un avertissement pour la Technopolice

Ce jugement est un avertissement pour les promoteurs de cette surveillance toujours plus débridée de l’espace public. Si la vidéosurveillance algorithmique (VSA) reste la technologie la plus couramment utilisée – illégalement, sauf malheureusement dans le cadre de la loi JO – l’audiosurveillance algorithmique (ASA) n’est pas en reste pour autant. Avant la surveillance à Orléans par Sensivic, on l’a retrouvée à Saint-Étienne grâce à un dispositif d’ASA développé par Serenicity que la CNIL avait lourdement critiqué et fait mettre à l’arrêt.

Avec ce jugement, le tribunal administratif d’Orléans ne déclare pas seulement l’ASA illégale : il estime également qu’un contrat passé entre une commune et une entreprise pour mettre en place ce type de surveillance peut-être attaqué par une association comme La Quadrature. Cet élément est loin d’être un détail procédural, alors que des communes comme Marseille ont pu par le passé échapper au contrôle de légalité de leur surveillance en jouant sur les règles très contraignantes des contentieux des contrats.

La question du couplage de l’ASA à la vidéosurveillance classique

En septembre 2023, la CNIL, que nous avions saisie en parallèle du TA d’Orléans, considérait que cette ASA était illégale dès lors qu’elle était couplée à la vidéosurveillance en raison de la possibilité de « réidentifier » les personnes. Mais elle ajoutait qu’elle ne trouvait plus rien à redire depuis que le dispositif orléanais était découplé de la vidéosurveillance locale. Une analyse que nous avons contestée devant le TA d’Orléans¹Voir nos observations d’octobre 2023 et celles de janvier 2024..

Dans son jugement, le tribunal administratif d’Orléans n’a pas explicitement considéré que l’ASA orléanaise ne serait pas un traitement de données si elle n’était plus couplée à la vidéosurveillance. Puisqu’il était saisi de la légalité de la convention entre Sensivic et Orléans, laquelle prévoyait ce couplage, il s’est borné à dire que le dispositif ASA et vidéosurveillance était illégal.

Dans tous les cas, ce point est annexe : l’audiosurveillance algorithmique exige, par nature, d’être couplée avec une source supplémentaire d’information permettant de traiter l’alerte émise. Que ce soit par un couplage avec la vidéosurveillance ou en indiquant à des agent·es de police ou de sécurité de se rendre à l’endroit où l’événement a été détecté, l’ASA visera toujours à déterminer la raison de l’alerte, donc d’identifier les personnes. Elle est donc par nature illégale.

Laisser-faire de l’État face à une technologie manifestement illégale

Impossible toutefois de passer sous silence la lenteur de l’administration (ici, la CNIL) et de la justice devant les dispositifs de surveillance manifestement illégaux de l’industrie sécuritaire. Alors même qu’un dispositif semblable avait été explicitement et très clairement sanctionné à Saint-Étienne en 2019, Sensivic a pu conclure sans difficulté une convention pour installer ses micros dopés à l’intelligence artificielle. Il aura fallu une double saisine de la part de La Quadrature pour mettre un terme à ce projet.

Un tel dossier prouve que l’industrie sécuritaire n’a que faire du droit et de la protection des libertés, qu’elle est prête à tout pour développer son marché et que l’État et le monde des start-ups s’en accommode bien. Comment Sensivic, avec une technologie aussi manifestement illégale, a-t-elle pu récolter 1,6 millions en 2022, dont une partie du fait de la BPI (Banque Publique d’Investissement) ? L’interdiction explicite de ces technologies de surveillance est la seule voie possible et tenable.

Ce jugement reste une victoire sans équivoque. Il annonce, nous l’espérons, d’autres succès dans notre combat juridique contre la Technopolice, notamment à Marseille où notre contestation de la VSA est toujours en cours de jugement devant la cour administrative d’appel. Alors pour nous aider à continuer la lutte, vous pouvez nous faire un don ou vous mobiliser dans votre ville.

Le 23 mai dernier, le Conseil d’État a rejeté le recours en urgence de La Quadrature du Net contre la mesure de blocage de TikTok en Nouvelle-Calédonie. Pour justifier cette décision inique, le juge des référés a affirmé qu’il n’y aurait pas d’urgence à statuer puisque ce blocage serait, selon les dires du gouvernement, bientôt levé. Il aura fallu attendre plus de 24 heures après la levée de l’état d’urgence pour que le réseau social soit de nouveau accessible. Cet épisode marquera un tournant dans la montée autoritaire en France et dans l’échec de nos institutions à l’empêcher.

Les mensonges du Premier ministre

Lorsque nous déposions notre référé mi-mai, nous n’imaginions pas un tel arbitraire. Le Premier ministre a en effet annoncé le blocage de TikTok le 15 mai dernier en même temps qu’il annonçait l’entrée en vigueur de l’état d’urgence sur le territoire de la Nouvelle-Calédonie. Juristes et journalistes estimaient alors que la décision de blocage ne pouvait avoir été prise qu’en application d’une disposition de la loi sur l’état d’urgence qui prévoit la possibilité pour le ministre de l’intérieur de bloquer « tout service de communication au public en ligne provoquant à la commission d’actes de terrorisme ou en faisant l’apologie ». En réalité, la mesure de blocage était justifiée par un autre fondement juridique. Le gouvernement a sciemment gardé le silence dessus, entretenant confusion et opacité pendant que La Quadrature et d’autres associations déposaient leurs recours.

En parallèle, l’exécutif a rapidement distillé dans la presse, dès le 16 mai, un autre élément de langage : le blocage de TikTok serait justifié par une opération d’ingérence étrangère de la part de l’Azerbaïdjan. En réalité, si l’Azerbaïdjan veut tirer bénéfice depuis plusieurs mois des tensions en Nouvelle-Calédonie, aucune opération de désinformation de sa part n’a été lancée sur TikTok. Et ce sont les services du Premier ministre eux-mêmes qui l’ont dit, par une fiche établie par Viginum, un service relevant du Premier ministre chargé d’étudier les opérations d’ingérence étrangère en ligne.

Sur ces deux points, le Premier ministre s’est retrouvé face à sa malhonnêteté et ses mensonges lorsque ses services ont dû justifier la mesure devant la justice. Dans le mémoire envoyé au Conseil d’État, on a ainsi pu découvrir que le fondement juridique de ce blocage n’était non pas l’état d’urgence, mais la « théorie des circonstances exceptionnelles », qui consiste à admettre dans des cas très exceptionnels des dérogations à certaines règles de droit. Admise par les juges il y a une centaine d’années, cette théorie est d’une certaine manière l’ancêtre de l’état d’urgence, mais jurisprudentiel. La loi de 1955, imaginée dans le contexte colonial de la guerre d’Algérie, a ensuite pris le relai avec un cadre précis. Comme cela a été relevé lors de l’audience, c’est la première fois que ces deux régimes d’exception se retrouvent invoqués en même temps. Derrière cette situation juridique inédite, on sent surtout que le gouvernement ne savait pas sur quel pied danser et avait décidé le blocage du réseau social avant d’avoir déterminé sa justification en droit. La presse l’a d’ailleurs confirmé : fin mai, La Lettre révélait que, en coulisses, le gouvernement avait passé un accord avec TikTok pour que la plateforme ne conteste pas en justice la décision de blocage qu’il n’arrivait pas à justifier légalement.

Cependant, cette théorie des « circonstances exceptionnelles » ne permet pas pour autant de sacrifier la liberté d’expression en ligne sur l’autel d’une sacro-sainte sécurité. Devant le Conseil d’État, le Premier ministre a notamment justifié le blocage de TikTok par de soi-disant contenus violents ou incitant à la violence. Le 20 mai, ses services écrivaient ainsi au Conseil d’État que « l’organisation de ces exactions a été largement facilitée par l’utilisation des réseaux sociaux, et particulièrement, du fait des caractéristiques spécifiques, du réseau social “TikTok” ». Mais lorsque le gouvernement fut sommé par le Conseil d’État d’apporter la preuve de ces contenus prétendument problématiques, il n’a produit que des captures d’écran… de contenus légaux. Les exemples choisis pour illustrer le besoin d’une censure n’étaient en réalité que des vidéos dénonçant les violences policières et l’organisation de milices civiles. En somme, des expressions politiques plus ou moins radicales, critiquant la situation, mais en rien des appels à la violence. Les services du Premier ministre ont admis sans peu de scrupules à l’audience que TikTok a été choisi car « le profil des émeutiers correspondait au profil des utilisateurs », c’est-à-dire les jeunes. Sans détour, le gouvernement assumait ainsi vouloir bâillonner la parole et l’expression de la jeunesse kanake alors même que ce qui était dénoncé dans les vidéos incriminées sur le moment s’est révélé être vrai : la presse a révélé ces derniers jours les cas de violences policières, la complicité de la police avec les milices, ou encore une agression raciste d’un policier kanak.

Enfin, le gouvernement a poursuivi dans la malhonnêteté lorsqu’il a assuré au Conseil d’État, dans un mémoire daté du 22 mai, que la mesure de blocage ne durerait pas. Il s’engageait ainsi à mettre fin au blocage lorsque « l’évolution de la situation sur le territoire de Nouvelle-Calédonie permettrait d’envisager une levée de la mesure », laissant même croire que cela pourrait intervenir « avant la lecture de l’ordonnance » (c’est-à-dire avant même la décision du Conseil d’État). En réalité, il aura fallu attendre plus de 24 heures après la levée de l’état d’urgence en Nouvelle-Calédonie pour que TikTok soit de nouveau accessible.

Le Conseil d’État allié du gouvernement

C’est ce dernier mensonge relatif à la levée de l’état d’urgence qui a semblé aider le Conseil d’État à ne pas sanctionner le gouvernement, donc à ne pas lui ordonner de rétablir l’accès à TikTok. En effet, pour que le juge administratif prenne une décision en référé, il faut, avant même de parler de l’illégalité de la situation, justifier d’une urgence à agir. On pourrait se dire que bloquer une plateforme majeure dans les échanges en ligne, sur l’ensemble du territoire de Nouvelle-Calédonie (270 000 habitant·es), pour une durée indéterminée, est une situation suffisamment urgente. C’est notamment ce qui a été défendu par les avocat·es présent·es à l’audience, rappelant l’aspect entièrement inédit d’un tel blocage en France et même dans l’Union européenne. Le Conseil d’État a d’ailleurs été moins exigeant par le passé : en 2020, quand nous lui demandions d’empêcher les drones de la préfecture de police de Paris de voler, ici aussi par un recours en référé, il constatait qu’il y avait bien une urgence à statuer.

Mais pour TikTok, le juge des référés a préféré jouer à chat perché : dans sa décision, il estime que « les requérants n’apportent aucun élément permettant de caractériser l’urgence à l’intervention du juge des référés », et précise, pour affirmer qu’il n’y a pas d’urgence, que « la décision contestée porte sur le blocage d’un seul réseau social sur le territoire de la Nouvelle-Calédonie, l’ensemble des autres réseaux sociaux et moyens de communication, la presse, les télévisions et radios n’étant en rien affectés ». Très belle preuve de l’incompréhension de ce que représente un réseau social aujourd’hui et de comment l’information circule en ligne. Le Conseil d’État oublie notamment que la Cour européenne des droits de l’Homme (CEDH) estime que bloquer l’ensemble d’une plateforme en ligne équivaut à empêcher un journal de paraître ou à un média audiovisuel de diffuser. Ici, nos institutions donnent l’impression de ne pas tenter de comprendre la réalité d’Internet et minimisent de fait l’atteinte qui découle de ce blocage.

Pour enfoncer le clou sur l’absence d’urgence à statuer, le juge des référés termine en reprenant à son compte la promesse malhonnête du gouvernement : « cette mesure de blocage doit prendre fin dans de très brefs délais, le gouvernement s’étant engagé, dans le dernier état de ses écritures, à lever immédiatement la mesure dès que les troubles l’ayant justifiée cesseront ». Il a donc laissé faire, octroyant au gouvernement un pouvoir discrétionnaire sur la date de rétablissement de la plateforme.

Un constat amère peut donc être fait : en France, comme en Russie ou en Turquie, le gouvernement peut bloquer d’un claquement de doigt un réseau social sans que la justice ne soit capable de l’en empêcher. Alors que le Conseil d’État aurait pu faire passer un message fort et exercer son rôle de contre-pouvoir, il est venu au secours du gouvernement en tolérant une atteinte sans précédent et totalement disproportionnée à la liberté d’expression et d’information.

Ne pas laisser faire

Bien que le blocage de TikTok soit levé, le précédent politique et juridique existe désormais. Nous pensons qu’il faut tout faire pour que celui-ci ne se reproduise pas et reste un cas isolé. Que ce soit par la Cour européenne des droits de l’Homme ou par le Comité des droits de l’Homme des Nations Unies, ce type de censure est unanimement condamné. Nous ne pouvons donc pas laisser le Conseil d’État se satisfaire de ce blocage et devons exiger de lui qu’il rappelle le droit et sanctionne le gouvernement.

C’est pourquoi nous avons donc déposé la semaine dernière un recours en excès de pouvoir contre cette décision. Il s’agit de la voie contentieuse classique, mais plus longue, lorsque l’on veut contester une décision administrative. Un tel recours prendra un à deux ans avant d’être jugé et nous espérons que le Conseil d’État sortira de sa torpeur et confirmera que le blocage était illégal. Car pour bloquer TikTok, le gouvernement ne s’est vu opposer aucun obstacle, aucun garde-fou, et n’a jamais eu à justifier sa mesure. La seule opposition à laquelle il a été confronté a été la saisie de la justice par les associations et la société civile. L’échec qui en a résulté est une preuve supplémentaire de la défaillance de plus en plus flagrante des leviers démocratiques.

Depuis de nombreuses années, nous constatons l’effondrement progressif de l’État de droit en France. Nous constatons que la politique toujours plus autoritaire des gouvernements successifs, et notamment ceux d’Emmanuel Macron, ne se voit opposer aucun obstacle institutionnel majeur. Avec le blocage arbitraire de TikTok, une nouvelle étape a été franchie. Nous ne cachons pas notre inquiétude face à ce constat, mais nous continuerons d’agir. Pensez, si vous le pouvez, à nous aider avec un don.

Dans son arrêt du 30 avril 2024, la Cour de justice de l’Union européenne (CJUE) vient de rendre sa décision concernant la légalité du système de surveillance massif de la Hadopi. Cet arrêt est décevant. La CJUE tempère très fortement sa précédente jurisprudence, au-delà du cas de la Hadopi. En considérant désormais que l’accès aux adresses IP n’est pas sensible, elle admet la possibilité de surveiller massivement Internet.

La Cour de justice de l’Union européenne vient d’autoriser l’accès massif et automatisé à l’adresse IP associée à l’identité civile et au contenu d’une communication. Le tout pour des finalités triviales et sans contrôle préalable par un juge ou par une autorité administrative indépendante.

L’arrêt du 30 avril 2024 est un revirement de jurisprudence. La CJUE vient d’autoriser un accès massif aux adresses IP associées à l’identité civile de l’internaute. Les polices de toute l’Europe, après une décennie de combat où les États ont délibérément choisi de ne pas appliquer les nombreuses décisions précédentes de la CJUE, viennent de l’emporter. C’est une prime à l’abus, un signe très fort lancé aux pays autoritaires : la CJUE admet qu’elle finira par changer sa jurisprudence si ses décisions ne sont pas appliquées. C’est un affaiblissement inquiétant de l’autorité de la Cour face à la pression des États membres.

Alors qu’en 2020, la CJUE considérait que la conservation des adresses IP constitue une ingérence grave dans les droits fondamentaux et que ces dernières ne peuvent faire l’objet d’un accès, associé à l’identité civile de l’internaute, seulement dans des cas de criminalité grave ou d’atteinte à la sécurité nationale, tel n’est aujourd’hui plus le cas. La CJUE renverse son raisonnement : elle estime désormais que la conservation des adresses IP n’est, par défaut, plus une atteinte grave aux libertés fondamentales, et que dans certains cas seulement cet accès porte une ingérence grave qu’il faut entourer de garanties.

Concernant notre affaire et le cas précis de la Hadopi en France, la Cour pousse seulement la Hadopi à évoluer. Elle estime que dans certaines situations « atypiques » l’accès à l’adresse IP et l’identité civile associée à une œuvre culturelle peut créer une ingérence grave dans le droit à la vie privée (on peut penser au cas d’une œuvre permettant de tirer des conclusions relatives aux opinions politiques, à l’orientation sexuelle, etc.) ; elle estime aussi que cet accès porte une ingérence grave en cas de « réitération » et exige dès lors que l’accès aux adresses IP ne puisse pas être « entièrement automatisé ». Mais dans tous les autres cas la CJUE dit bien que la Hadopi peut accéder de manière massive et automatisée à l’identité civile des personnes.

Autrement dit, la riposte graduée (du nom de la procédure suivie par Hadopi qui consiste à envoyer plusieurs avertissements dans les premiers temps, avant de saisir la justice si l’internaute ne « sécurise » pas sa connexion) devra changer de forme. Le législateur devra inventer une machine à gaz pour prévoir un pseudo contrôle externe indépendant de l’accès à l’identité civile par la Hadopi. Alors qu’aujourd’hui il n’existe aucune obligation de contrôle externe de la Hadopi, l’autorité devra désormais prévoir un tel contrôle lorsqu’elle souhaite, dans ces cas « atypiques » ou en cas de « réitération » de l’internaute, accéder à l’identité civile. En somme, des agent·es externes à la Hadopi seront chargé·es de cliquer sur un bouton « autoriser », là où aujourd’hui la Hadopi se l’autorise elle-même.

Plus généralement, cet arrêt de la Cour européenne a surtout validé la fin de l’anonymat en ligne. Alors qu’en 2020 elle précisait qu’il existait un droit à l’anonymat en ligne concrétisé par la directive ePrivacy, elle l’abandonne aujourd’hui. Et pour cause : en permettant à la police d’accéder largement à l’identité civile associée à une adresse IP et au contenu d’une communication, elle met de facto fin à l’anonymat en ligne.

Nous nous attendons désormais à ce que le Conseil d’État sauve la Hadopi, malgré cet arrêt. La Quadrature du Net continuera son combat contre la surveillance en ligne, y compris celle de la Hadopi. Pour nous aider, vous pouvez nous faire un don.

Les premiers arrêtés préfectoraux autorisant la vidéosurveillance algorithmique (VSA) dans le cadre de la loi JO viennent d’être publiés. La RATP et la SNCF peuvent désormais surveiller automatiquement les personnes à l’occasion du match PSG/OL du 19 au 22 avril et du concert des Black Eyed Peas le 20 avril. La Quadrature du Net s’est mobilisée depuis 2019 contre cette technologie et continue sa bataille. Nous vous tiendrons au courant dans les prochaines semaines des actions à venir.

Déployée en toute illégalité depuis des années et autorisée de façon inédite en Europe avec la loi sur les JOP, la vidéosurveillance algorithmique était dans les starting blocks pour être utilisée pour la première fois par la police. C’est maintenant chose faite.

La préfecture de police de Paris a autorisé ce 17 avril 2024 l’utilisation du logiciel de VSA de la société Wintics par la SNCF et la RATP. La surveillance commencera dès le 19 avril sur 118 caméras de la gare de Lyon et du pont du Garigliano à Paris. Elle concernera également le 20 avril l’ensemble des caméras des stations de métro et de RER des gares de Nanterre Préfecture et de La Défense Grande Arche.

La rumeur d’une autorisation de VSA à l’occasion du match PSG-OL circulait depuis plusieurs semaines puisque la SNCF annonçait depuis quelques temps sur des affiches gare de Lyon avoir obtenu une autorisation de la préfecture de Police. On apprenait sur cette affiche que la SNCF procédait déjà à des « tests » liés à la phase de conception de l’algorithme, où les personnes filmées servent de cobayes pour ajuster les logiciels. Des tests ont aussi été effectués lors de deux concerts de Depeche Mode à Paris. Une autre affiche dans les couloirs du métro parisien indiquait que des expérimentations allaient aussi bientôt être mises en œuvre par la RATP.

 

Nous avons développé un outil de recensement des autorisations préfectorales de surveillance, dont l’information fait quasi systématiquement défaut, ce qui empêche les personnes surveillées d’être au courant de ces mesures. Cet outil, dénommé « Attrap’Surveillance » (pour Automate de Traque des Termes de Recherche dans les Arrêtés Préfectoraux), analyse automatiquement les recueils des actes administratifs de chaque préfecture afin d’y repérer les autorisations préfectorales d’utilisation des drones et de VSA. C’est comme cela que nous avons pu apprendre la publication aujourd’hui de la première autorisation formelle d’une utilisation répressive de la VSA à Paris. En publiant aussi tardivement ces arrêtés, le préfet de police tente d’éviter au maximum les recours en justice, qui n’auront probablement pas le temps d’être jugés avant le début de la surveillance algorithmique.

Face à la concrétisation de cette surveillance, aux abus qui se profilent et à la Technopolice qui avance illégalement en parallèle de la loi JO, La Quadrature du Net s’apprête à répliquer. Nous vous tiendrons au courant dans les prochaines semaines des actions à venir.

Nous vous parlions l’année dernière du projet de loi SREN (pour « Sécuriser et réguler l’espace numérique »). Il s’agit d’un texte censé réguler les plateformes en ligne, dont nombre de ses mesures ont révélé une vision archaïque d’Internet¹Voir notre analyse générale du texte, celle spécifique du filtre anti-arnaque, et celle sur la vérification de l’âge en ligne co-écrite avec Act Up-Paris.. Le 26 mars dernier, député·es et sénateur·rices de la commission mixte paritaire (CMP) se sont accordé·es sur une version commune du texte. Les modifications apportées ne sont pourtant que cosmétiques. Après son vote la semaine dernière par le Sénat, cette version commune doit encore être votée par l’Assemblée nationale demain. Nous appelons cette dernière à le rejeter.

Vérification de l’âge : s’isoler plutôt que de se conformer au droit européen

Si le projet de loi SREN met autant de temps à être voté, c’est que la France mène depuis plusieurs mois un bras de fer avec la Commission européenne. Normalement, la régulation des plateformes en ligne se décide au niveau de l’ensemble de l’Union européenne. Pourtant, avec ce texte, le gouvernement français a décidé de n’en faire qu’à sa tête. En voulant forcer les plateformes hébergeant du contenu pornographique à vérifier l’âge des internautes, mesure inutile qui n’empêchera pas les mineur·es d’accéder à ces contenus, la France souhaite ainsi s’affranchir des règles européennes qui s’imposent normalement à elle.

La Commission européenne n’a évidemment pas vu cela d’un bon œil. Elle a donc actionné les pouvoirs qui lui sont octroyés dans ce genre de situations, et a bloqué le texte à deux reprises, arguant que le projet de loi SREN empiétait sur le droit de l’Union.

La parade trouvée par la CMP consiste à restreindre l’obligation de vérification de l’âge des internautes aux seules plateformes établies « en France ou hors de l’Union européenne ». Autrement dit, puisque les plateformes européennes ne sont plus concernées par cette vérification d’âge, cette mesure ne rentre plus dans le champ du droit européen, et la Commission européenne n’a plus rien à dire ! Stupide, mais habile formalisme.

La France décide ainsi de s’isoler du reste de l’Union : les plateformes françaises ou non-européennes devront faire cette vérification d’âge, alors que les plateformes européennes en seront épargnées. On félicitera l’audace de la parade : alors qu’habituellement, pour refuser les régulations sur les sujets numériques, le gouvernement français est le premier à brandir la concurrence des États sur Internet et le risque que les acteurs français s’enfuient à l’étranger en cas de « sur-régulation » (argument brandi par exemple pour détricoter le règlement IA ou supprimer l’interopérabilité des réseaux sociaux), il semble ici s’accommoder précisément de ce qu’il dénonce, puisque les plateformes françaises seront pénalisées par rapport à celles situées dans le reste de l’UE. Tout ça pour garder la face.

Ce tour de passe-passe politique ne doit néanmoins pas masquer la réalité de cette vérification d’âge. Au-delà d’une question d’articulation avec le droit de l’Union européenne, cette mesure, comme nous le dénonçons depuis le début, mettra fin à toute possibilité d’anonymat en ligne, notamment sur les réseaux sociaux (voir notre analyse et celle d’Act Up-Paris sur la question de la vérification de l’âge).

Vous reprendrez bien un peu de censure automatisée ?

Le texte final de ce projet de loi prévoit d’étendre la censure automatisée. Ses articles 3 et 3 bis A prévoient une obligation de censure en 24 heures des contenus, respectivement d’abus sexuels sur enfants et de représentation d’actes de torture et de barbarie. Le mécanisme est un calque de la censure automatisée des contenus à caractère terroriste : une notification de la police, une obligation de censure en 24h sous peine de fortes amendes et de plusieurs années de prison, un contrôle par la justice qui n’est pas obligatoire puisque le juge doit être saisi une fois la censure effective par l’hébergeur des contenus et non par la police.

La Quadrature du Net, tout comme de nombreuses autres organisations, dénoncent depuis des années le fait que ce système de censure administrative en très peu de temps aura comme conséquence une automatisation de la censure : face aux sanctions monstrueuses en cas de non-retrait, et alors que les hébergeurs n’ont que très peu de temps pour agir, ils seront nécessairement poussés à ne pas contester la police et à censurer les contenus qu’on leur demande de retirer. C’est d’ailleurs exactement ce mécanisme qu’avait censuré le Conseil constitutionnel en 2020 avec la loi Avia, et qu’avec cinq autres associations nous dénonçons devant la justice à propos du règlement européen de censure terroriste.

Et le prétexte de la lutte contre les abus sexuels sur mineur·es ou la lutte contre les actes de torture ou de barbarie ne peut justifier ces censures. Tout comme le projet de règlement européen CSAR (pour « Child sexual abuse regulation », aussi appelé « Chat Control »), le projet de loi SREN ne résoudra pas le problème des abus sexuels sur mineur·es ni des actes de torture en censurant ces contenus. Une autre politique, ambitieuse, pour lutter contre les réseaux et trafiquants, est pour cela nécessaire.

Prendre les gens pour des schtroumpfs

Les débats sur ce projet de loi auront, une fois de plus, démontré la piètre qualité des débats parlementaires lorsqu’il s’agit de numérique²Ce qui n’est pas inédit, voir par exemple ce qui s’est passé pendant les débats sur la loi JO qui a légalisé une partie de la vidéosurveillance algorithmique.. Les débats autour du filtre « anti-arnaque » ou de la peine de bannissement ont été particulièrement révélateurs de la manière dont le gouvernement voit les internautes : comme des incapables à qui il faudrait montrer la voie, quitte à mentir.

Le filtre anti-arnaque n’a pas été substantiellement modifié en CMP et la vision paternaliste que nous dénoncions (voir notre analyse) est toujours présente en l’état actuel du texte. Ce filtre fait le constat de l’inefficacité des listes anti-hameçonnages qu’utilisent les principaux navigateurs mais, au lieu de fournir une liste anti-hameçonnage complémentaire, de qualité et transparente, le gouvernement préfère forcer la main des navigateurs en leur imposant de censurer les contenus et de devenir des auxiliaires de police.

Main sur le cœur, le gouvernement nous promet toutefois que seuls les contenus d’hameçonnage seront concernés par ce nouveau dispositif de censure que devront implémenter les navigateurs. N’ayons aucune crainte, cette nouvelle manière de censurer ne sera jamais étendue à tout le reste ! Difficile, en réalité, de croire un gouvernement d’Emmanuel Macron alors que ce dernier a clairement adopté depuis son arrivée à l’Élysée une politique de remise en cause drastique des libertés fondamentales (voir notre récapitulatif en 2022 pour son premier mandat).

Et difficile de croire un gouvernement dont le ministre Jean-Noël Barrot, lorsqu’il était chargé de défendre ce texte avant d’être débarqué des affaires numériques, n’hésitait pas à raconter n’importe quoi pour mieux faire passer la pilule. Car la peine de bannissement de réseaux sociaux, prévue à l’article 5 du projet de loi, nécessite que les plateformes connaissent l’identité des personnes ouvrant un compte (et ce afin d’empêcher que les personnes bannies ne reviennent sur la plateforme). Or, questionné sur France Culture à propos des atteintes à l’anonymat en ligne qu’implique cette mesure, le ministre Barrot a préféré mentir plutôt que d’admettre le problème. Il a affirmé que le projet de loi ne prévoyait qu’« une obligation de moyens [d’empêcher un·e internaute banni·e de se refaire un compte] mais qui n’est pas sanctionnée par une amende ». Sauf que c’est totalement faux : un réseau social qui n’aurait pas empêché un·e internaute banni·e de se refaire un compte risquera jusqu’à 75 000 € d’amende par compte recréé. Et ce point n’a pas évolué lors des débats parlementaires.

Détricoter la loi de 1881 sur la liberté d’expression

Le texte final comporte une grande nouveauté : le délit d’outrage en ligne a été réintroduit par la CMP. Cette disposition, initialement introduite par le Sénat puis supprimée par l’Assemblée nationale car jugée trop dangereuse, consiste à faire des abus d’expression en ligne une circonstance aggravante par rapport aux cas où ils seraient commis hors ligne. Concrètement, le projet de loi SREN sanctionne de 3 750 euros d’amende et d’un an d’emprisonnement le fait de « diffuser en ligne tout contenu qui soit porte atteinte à la dignité d’une personne ou présente à son égard un caractère injurieux, dégradant ou humiliant, soit crée à son encontre une situation intimidante, hostile ou offensante ».

Il s’agit donc d’un délit extrêmement large puisque la notion de « situation intimidante, hostile ou offensante » n’est nullement définie légalement et sera la porte ouverte aux interprétations larges. De plus, la possibilité de sanctionner ce délit par une amende forfaitaire rajoute des possibilités d’abus, ce que dénoncent déjà des avocat·es et la Défenseure des droits. Mais ce délit peut également être sanctionné par une peine de bannissement.

Surtout, ce délit d’outrage en ligne déroge à la loi de 1881. Cette loi est le socle qui régit aujourd’hui les abus d’expression, y compris en ligne : elle prévoit des mécanismes qui évitent les abus (délais de prescription courts, procédures particulières, etc.). Exit ces garde-fous : en introduisant ce délit d’outrage en ligne dans le code pénal et non dans la loi de 1881, le législateur concrétise une longue envie de la droite autoritaire de détricoter cette loi. Pourquoi, pourtant, faudrait-il abandonner les protections de la loi de 1881 pour le simple fait que ce serait en ligne, alors que la presse papier ou la télévision sont souvent des déversoirs de haine ?

Le projet de loi SREN n’a donc pas fondamentalement évolué. Il s’agit toujours d’un texte fondé sur un mode de régulation d’Internet à la fois vertical et brutal, qui ne peut mener qu’à une impasse et une restriction des libertés. Comme si l’État ne savait pas réguler un média autrement sur ce modèle autoritaire. Les autres modèles de régulation, notamment l’obligation d’interopérabilité des réseaux sociaux, ont été sèchement rejetés par le pouvoir. Le résultat de ce refus de voir ce qu’est Internet est un texte inadapté, dangereux pour les droits fondamentaux et l’expression libre en ligne, et qui ne résoudra aucunement les problèmes auxquels il prétend s’attaquer. L’Assemblée nationale doit donc rejeter ce projet de loi. Et pour nous aider à continuer la lutte, vous pouvez nous faire un don.