Surveillance de l’Internet

La loi de programmation militaire a été adoptée à l’Assemblée nationale par 292 voix pour et 251 voix contre.
Un texte qui, outre, le budget des armées comporte un volet Internet qui fait la part belle à la collecte des données.
Trop belle ?

L’Assemblée nationale a adopté, mardi 3 décembre, la nouvelle loi de programmation militaire (LPM).
Les députés ont donc validé, en première lecture, ce texte qui entérine les près de 190 milliards d’euros alloués pour cinq ans aux armées et les 34 000 postes supprimés au sein de la Grande Muette.
La loi doit encore passer l'obstacle du Sénat.

Cette loi fait également une large place à l’Internet avec un article 13 très controversé.
Il décrit un nouveau dispositif qui, à l’heure du scandale de l’espionnage made in NSA, ne manque pas de faire grincer des dents.
Les changements envisagés risquent, en effet, de modifier en profondeur la manière dont les services de l’État peuvent accéder aux données des internautes sans autorisation préalable d'un juge.
Même la Commission nationale de l’informatique et des libertés (Cnil) s’est officiellement émue, le 26 novembre, de ne “pas avoir été saisie” des nouveautés de cet article, introduit par un amendement au Sénat.
De son côté, l’Asic, une association professionnelle qui défend les intérêts d’acteurs du Web comme Dailymotion, Deezer, Google ou encore Facebook,
s’alarme d’un texte qui “pourrait mettre en péril l’écosystème de l’économie numérique en France” en créant “un déficit de confiance vis-à-vis des solutions nationales d’hébergement [des données]”.

Les ministères de l’Économie et du Budget aussi

Les détracteurs de ce controversé article 13 craignent, notamment, qu’il confère aux services de l’État des pouvoirs élargis en matière de collecte des données chez les opérateurs télécoms français, sans réel contrôle.
Pas franchement, aux yeux de l’Asic, un signal heureux à envoyer aux éventuels partenaires économiques des groupes français du web.
De leur côté, des députés, comme l’UMP Lionel Tardy, ont dénoncé un texte qui ne serait pas une bonne nouvelle pour la protection des données personnelles sur le Net.

Que change, en fait, ce nouveau dispositif déjà très décrié ?
“Le point qui fait le plus débat actuellement est qu’il étend à des nouvelles entités la possibilité de demander des collectes de données”,
souligne Gérôme Billois, administrateur du Club de la sécurité de l'information Français (Clusif) et membre du cabinet français de conseil Solucom.
Outre le ministère de la Défense et de l’Intérieur, ce sont désormais aussi les ministères de l’Économie et du Budget qui pourront demander d’en savoir plus sur les internautes.

Par ailleurs, cette possibilité d'accéder aux données personnelles était jusqu'à présent justifiée par la lutte contre le terrorisme.
Le nouveau texte change la philosophie de la démarche : désormais, la collecte peut intervenir en cas de recherche de renseignements intéressant la sécurité nationale,
la sauvegarde des éléments essentiels du potentiel scientifique et économique de la France, la prévention du terrorisme,
de la criminalité et de la délinquance organisées et de la reconstitution ou du maintien de groupements dissous, remarque la Cnil.

Quand c’est flou, c’est...

À cette extension du domaine de la surveillance s’ajoute une formulation parfois très vague.
La LPM permet, ainsi, la collecte “en temps réel” des données par “sollicitation des réseaux”.
“Ce sont des terminologies que je n’avais encore jamais rencontrées jusqu’à présent”, reconnaît Gérôme Billois.
Il s’agit probablement des données de géolocalisation des utilisateurs de smartphones qui pourront ainsi être recueillies en temps réel pour les besoins des enquêtes.
Mais est-ce que la “sollicitation des réseaux” signifie la possibilité de placer un mouchard directement sur les antennes relais ?
Une question posée au gouvernement durant les débats à l’Assemblée nationale et qui n’a reçu aucune réponse, rapporte le site spécialisé dans les médias numériques Numérama.

Autre zone floue du texte : les demandes peuvent, dorénavant, concerner “tout document ou information” conservé par l’hébergeur.
Jusqu’à présent il ne s’agissait que des “données techniques” (adresse ip, courriel etc.) qui permettait d’identifier un internaute visé par une enquête.

Reste l’épineux problème du contrôle de ces collectes de données.
L’article 13 fait de Matignon le garant du bien fondé des demandes.
C’est déjà mieux qu’avant : jusqu’alors c’était le ministère de l’Intérieur qui en était chargé, ce qui l’amenait “à se prononcer sur des demandes émanant de sa propre administration”, rappelle "Le Monde".
Mais l’Asic aurait bien aimé que l’autorité judiciaire ait son mot à dire sur la question, “ce qui semble assez raisonnable considérant l’ampleur du nouveau système”,
juge sur son blog, Thiébaut Devergranne, un consultant en droit spécialisé dans le droit des nouvelles technologies.

Mais pour Gérôme Billois, il ne faut pas crier au loup trop vite.
“Les mécanismes sont décrits à haut niveau et nécessitent encore les détails de mise en œuvre”, note cet expert.
En clair, la loi pose les principes et les décrets d’application viendront, en 2014, préciser les contours du contrôle de ce nouveau dispositif d’accès aux données des internautes.
Ce n’est qu’à ce moment-là qu’il faudra ou non, aux yeux de Gérôme Billois, s’inquiéter des risques éventuels pour notre vie privée sur le Net