4/01/24 -Arrêté du préfet des Alpes-Maritimes autorisant le garde champêtre de la commune de Gourdon de procéder à « l’enregistrement audiovisuel des interventions ». En clair : une caméra piéton. Prochaine étape : un fusil d’assaut pour les garde champêtre ?

 On pense immédiatement à Pagnol : « Le château de ma mère ». Pauvre maman de Pagnol, si le garde champêtre incarné par Jean Carmet avait été équipé d’ une caméra piéton, elle aurait payé bien cher le fait d’emprunter un raccourci à travers une propriété privée.

Les caméras piéton des policiers – et maintenant des gardes champêtres – ce sera bien lorsque n’importe quel citoyen pourra aussi les déclencher à l’aide d’une commande vocale de type « filme sans t’arrêter » 😊

NB : c’est légal, « a titre expérimental » expérimentation qui a vocation, comme toujours, à se prolonger indéfiniment.

Le 18 décembre 2023, la préfecture des Alpes-Maritimes publiait un arrêté autorisant le survol pendant presque un mois de pas moins de dix communes des Alpes-Maritimes totalisant près de 10% de la population du département.

Cet arrêté présentait toutes les caractéristiques d’un arrêté « de confort » pris « pour le cas où » s’inscrivant parfaitement dans la logique de banalisation de l’utilisation des drones de vidéosurveillance dans laquelle le ministère de l’Intérieur souhaite nous entrainer, banalisation contraire à l’esprit et à la lettre de la réglementation en vigueur.

Les avocat.e.s de la LDH et de l’association ADELICO ont immédiatement saisi en référé le tribunal administratif de Nice, lequel a rejeté la demande de suspension de l’arrêté préfectoral ; les deux associations ont aussitôt saisi en appel le Conseil d’Etat le 29 décembre 2023.

Le 1er janvier 2024 le préfet des Alpes-Maritimes abrogeait lui-même son arrêté qui n’était ni nécessaire ni proportionné par rapport aux objectifs qu’il se fixait.

La LDH et ADELICO avaient fait valoir que :

« L’arrêté ne permet pas de considérer que l’administration a justifié, sur la base d’une appréciation précise et concrète de la nécessité et de la proportionnalité de la mesure, que la préfecture des Alpes-Maritimes ne pouvait employer pour l’exercice de la prévention d’une éventuelle atteinte à la sécurité des personnes et des biens, d’autres moyens moins intrusifs que celui de l’emploi 24h/24 pendant un mois de deux caméras aéroportées.

Il ne ressort pas de l’Arrêté litigieux que le Groupement départemental de gendarmerie des Alpes-Maritimes ne dispose pas des effectifs suffisants pour assurer la protection, de jour comme de nuit, des dix communes visées dans cet arrêté. Aucune « donnée chiffrée ou statistique, aucun travail de documentation, ne permettent au juge d’apprécier la réalité » (TA Nantes, 2 août 2023,) d’un risque de trouble grave à l’ordre public.

Les indications vagues, stéréotypées et tautologiques évoqués dans les visas de l’arrêté litigieux ne sont pas suffisamment circonstanciés pour justifier, sur la base d’une appréciation précise et concrète de la nécessité de la proportionnalité de la mesure. Aucun élément ne permet de comprendre pourquoi le service ne peut employer, pour l’exercice de cette mission dans cette zone de dix communes et sur toute l’étendue de son périmètre géographique et temporel, d’autres moyens moins intrusifs au regard du respect de la vie privée que les moyens habituellement mis en œuvre pour lutter contre le terrorisme et les graves troubles à l’ordre public […] »

Le 4 janvier 2024 le Conseil d’Etat constatait qu’il n’y a plus lieu de statuer sur la requête des associations du fait de l’abrogation de l’arrêté préfectoral et condamne l’Etat à verser 4000 € de frais irrépétibles à chaque association.

Simple – Sécurisée – Rapide – Pratique

Contrôles abusifs – surveillance généralisée – déshumanisant 

La nouvelle carte nationale d’identité électronique (CNIe) s’inscrit dans la logique du « portefeuille numérique européen » voulu par la commission européenne [  ICI  ] Elle est – comme le passeport et, ultérieurement, les titres de séjour – le premier maillon d’un dispositif, qui, à terme, pourrait nous mener vers une société du contrôle généralisé et permanent.

Les informations contenues dans la CNIe servent à constituer le fichier TES et ce même fichier sert à contrôler le service de garantie de l’identité numérique (SGIN) qui va à terme et à travers votre CNIe autoriser vos accès aux services publics, aux banques, à la SNCF, aux compagnies aériennes et à des centaines d’autres services, en « vous identifiant de façon sécurisée »  

La nouvelle carte nationale d’identité électronique (CNIe)

« Une nouvelle carte plus sécurisée, plus pratique, au design modernisé » « protection optimale des données à caractère personnel » « hautement sécurisé » « accès spécifiquement encadré » c’est ainsi que le ministère de l’intérieur présente depuis 2021 la nouvelle carte nationale d’identité électronique.

Avec votre nouvelle carte d’identité numérique et si vous possédez un smartphone muni d’une puce NFC, alors, vous entrez – grâce au service de garantie de l’identité numérique (SGIN) dans un monde merveilleux où tout est facile, rapide, peu contraignant. Finie la bureaucratie lourdingue qui vous oblige à ressortir pour chaque démarche vos actes de naissance, photocopies resto-verso de vos CNI, etc. 

Effectivement, la nouvelle CNIe est surement plus pratique, peut-être plus sécurisée. Toutefois, elle ne peut pas prétendre être totalement sécurisée :  les exemples de serveurs « totalement sécurisés » qui ont fait l’objet de cyberattaques abondent.

La CNIe contient beaucoup plus d’informations que l’ancienne CNI : Le nom de famille, les prénoms, la date et le lieu de naissance, le sexe, la taille, la nationalité, le domicile ou la résidence de l’intéressé, la date de délivrance et la date de fin de validité du document ; le code de lecture automatique (QR code) ; elle comporte également la photographie, l’image numérisée de deux doigts et la signature du titulaire. La CNIe comporte surtout un composant électronique contenant toutes les données, à l’exception de la signature, du QR code et du numéro de support. Le composant électronique contient l’image numérisée de la photographie et celle des empreintes digitales de deux doigts.

Le fichier TES – (Titres électroniques sécurisés)  

Crée à l’origine pour lutter contre l’usurpation d’identité en stockant les données des détenteurs des nouveaux passeports biométriques, ce fichier enregistre désormais aussi les données, y compris biométriques (cf. plus haut), des détenteurs des nouvelles cartes nationales d’identité électronique CNIe et à terme ceux des détenteurs de titres de séjour.

La CNIL (1) a fait observer au gouvernement que plusieurs pays européens comme la Belgique ou l’Allemagne, conservent les données biométriques en base centrale seulement 90 jours ; la France, elle, les conservera 10 ans ! Une fois de plus, le gouvernement actuel (et tous ceux qui l’ont précédé depuis trente ans), montre une irrésistible et irresponsable appétence pour le fichage généralisé et permanent des citoyens.

La Quadrature du net (2) a déposé plainte le 24 septembre 2022 auprès de la CNIL au motif que cette base biométrique n’est ni nécessaire ni proportionnée à son objet et parce que l’obligation de sécurité qui pèse sur elle n’est pas assurée.

• Absence de nécessité et proportionnalité

Les passeports et, plus récemment, les cartes nationales d’identité sont dotées d’une puce qui contient, entre autres, la numérisation des empreintes digitales et du visage. Ces données, qui servent à les authentifier et donc à lutter contre l’usurpation d’identité, ils les détiennent dans leurs poches ou leurs sacs. Lorsqu’un voyageur se présente dans un aéroport français devant un guichet « Parafe » le logiciel va comparer son visage avec l’information numérisée de son visage contenue dans la puce de son passeport ; si la comparaison est conforme, le passage est autorisé. Ainsi, il est évident qu’une base de données centralisée n’est pas nécessaire pour authentifier une personne.

Ficher la quasi-totalité de la population dans une base centralisée qui contient des « données biométriques […] susceptibles d’être rapprochées de traces physiques laissées involontairement par la personne ou collectées à son insu » (3) est proprement irresponsable.

• Absence de respect de l’obligation de sécurité

Le risque de cyberpiratage  

Dès lors qu’une base de données est centralisée et surtout si elle a vocation à contenir les données biométriques de la quasi-totalité de la population elle fera inévitablement l’objet de cyberattaques. L’expérience prouve que les bases les mieux protégées peuvent faire l’objet d’intrusions.

Le risque de détournement

« les restrictions juridiques seront toujours moins efficaces que les restrictions techniques qui rendent impossibles l‘utilisation de la base [à des fins détournées] » (4) Pour répondre à cette exigence de non utilisation à des fins détournés, la seule solution technique connue à ce jour est celle de la base de données dite « à lien faible ». Selon le rapport sénatorial de M. Philippe Goujon en date du 29 juin 2011, « Dans ce système, plusieurs dizaines ou centaines de milliers d‘empreintes sont associées à plusieurs dizaines ou centaines de milliers d‘identités sans qu‘un lien soit établi entre une de ces empreintes et l‘une de ces identités. Nul ne peut en conséquence être identifié à partir de ses seules empreintes digitales » Autrement dit, le fichier ne pourra être – de par sa conception – utilisé ultérieurement à une autre fin que celle pour laquelle il a été conçu : l’authentification de détenteurs de passeports et de cartes nationales d’identité. Malheureusement, ce n’est pas la solution technique retenue par le gouvernement.

Le gouvernement avait le choix : soit concevoir un système d’authentification « décentralisé » détenu par chaque citoyen sur son passeport ou sa CNIe, soit développer un système centralisé : il a opté pour le système centralisé.

Après avoir opté pour un système centralisé, il pouvait mettre en place une base de données « à liens faibles » qui aurait empêché tout détournement d’usage : il ne l’a pas fait.

Cela est d’autant plus grave que ce méga fichier joue un rôle pivot dans tout l’écosystème du contrôle numérique de l’identité.

Service de garantie de l’identité numérique (SGIN)

Ce traitement, qui vient remplacer feu le très décrié « Alicem » (5) est conçu pour mettre à la disposition des titulaires de la nouvelle CNIe « un moyen d’identification électronique leur permettant de s’identifier et de s’authentifier auprès d’organismes publics ou privés grâce à une application qu’ils installent sur leur équipement terminal de communications électroniques  [en clair, le smartphone].L’application permet à l’usager, notamment, de générer des attestations électroniques comportant les seuls attributs d’identité dont il estime la transmission nécessaire aux tiers de son choix » . Article 1 du décret 2022-676  [  ICI  ]

Dans le paramétrage actuel, ne sont conservées en historique que les cinq dernières transactions ; qui pourra empêcher – par simple modification réglementaire – que la base conserve ultérieurement vos 300 dernières transactions ? Par recoupement des données, votre profil de citoyen pourra aisément être établi et votre activité pourrait être suivie.

Pub du ministère sur TES : « Enfin, afin de répondre aux interrogations qui se sont fait jour, et notamment de la part des parlementaires, il vient d’être décidé de conditionner le versement dans TES des empreintes digitales des usagers au consentement de ces derniers. Si les usagers n’y consentent pas, le titre sera délivré mais ils ne bénéficieront pas des services associés et recherchés, qu’il s’agisse de la lutte contre l’usurpation d’identité dont ils pourraient être victimes ou du renouvellement simplifié de leur demande de CNI. Mais ils en auront la liberté de choix. »

France Connet et France Identité

« À compter du 21 novembre 2022, l’application France Identité devient un fournisseur d’identité au sein de FranceConnect. Elle permet d’accéder à plus de 1 400 services en ligne de manière plus simple et plus sécurisée […] Grâce à l’application France Identité, plus besoin d’identifiant et de mot de passe, la carte d’identité et le code personnel à six chiffres les remplacent. En plus d’être plus ergonomique, ce système est aussi plus sécurisé ». (Site officiel de France identité).

L’application Docvérif va venir vérifier (comme son nom l’indique !) la validité de la CNIe en consultant le SGIN, avec lequel elle n’échange qu’un nombre limité de données et aucune donnée biométrique.

***

Oui, pour le moment, le smartphone doté d’une puce NFC n’est pas suffisamment généralisé pour que son usage soit, en pratique, obligatoire ; mais songez à la vitesse à laquelle le prix des portables a vertigineusement chuté. 

Oui, en France, la détention d’une CNI n’est pas obligatoire ; mais tenter de vivre sans une CNI pourrait faire l’objet d’une épreuve de Koh-Lanta intitulé « survivre en milieu urbain sans CNI plus d’un mois ».

Oui, le fichier TES ne comporte pas de dispositif de reconnaissance faciale ; mais la CNIL observe (6) que cette précision a été retirée de l’article 2 du décret « La Commission regrette la disparition de cette mention qui permettait de mentionner explicitement qu’aucun traitement supplémentaire de données biométriques ne serait réalisé »

Oui, pour le moment, nous n’avons détecté aucun service public qui rende obligatoire l’utilisation de France Connect par l’intermédiaire d’un smartphone ; mais nous avons testé le service public « Mon compte formation », le passage par France Connect est obligatoire, mais il existe une procédure sans smartphone : comptez cinq étapes et quatre semaines d’attente ! [cliquez ICI ]–  Vous avez le choix : un click ou quatre semaines d’attente.

Oui, le demandeur d’une CNIe peut refuser que l’image numérisée de ses empreintes digitales soit conservée dans le fichier TES ; mais ce faisant, il sera immanquablement repéré comme « mouton noir ».

Oui, le SGIN ne conserve que les cinq dernières transactions ; mais il s’agit d’un simple paramétrage qu’un simple décret modificatif pourrait porter aux 30 ou 40 dernières transactions, avec tous les risques de profilage  

Oui, la désinstallation, toujours possible, de l’application mobile entraîne automatiquement l’effacement des données stockées sur le serveur du SGIN et sur l’ordiphone, à l’exception de celles conservées en vue de la résolution d’éventuels contentieux ; il s’agit d’une disposition, intéressante, mais réversible.

***

La CNIe est un des éléments de l’écosystème électronique français du contrôle de l’identité ; l’architecture de cet écosystème fait que, désormais, il suffirait de déplacer légèrement le curseur de l’un ou l’autre de ses paramètres, ou d’y installer ici ou là un bouton marche-arrêt pour que le dispositif bascule dans le contrôle autoritaire et débouche sur la surveillance généralisée dont rêvent un certain nombre de nos hommes politiques.

***

1. CNIL – Délibération 2021-022
2. Ainsi que 15.248 plaignants l’ayant mandatée
3. Conseil constitutionnel 22/03/2012
4. CNIL 2012 Mme Falque-Pierrotin
5. Alicem prévoyait un dispositif de reconnaissance faciale
6. CNIL délibération n° 2022-011 du 10/02/2022

Décret CNIe : [  ICI  ]

Décret Fichier TES : [  ICI  ]

Décret SGIN : [  ICI  ]

Observations sur le rapport de la délégation sénatoriale à la prospective

CRISES SANITAIRES ET OUTILS NUMÉRIQUES (juin 2021)

Rapport présenté par :

Véronique Guillotin : Vice-présidente de la délégation sénatoriale à la prospective – Docteur en médecine – Groupe rassemblement démocratique et social européen.

Christine Lavarde :  Vice-présidente de la délégation sénatoriale à la prospective – Ingénieure du corps des Ponts – Groupe Les Républicains.

René-Paul Savary : Vice-président de la délégation sénatoriale à la prospective – Docteur en médecine – Groupe Les Républicains.

*

« quarantaine obligatoire pour les seules personnes positives strictement contrôlée grâce à des outils numériques (géolocalisation en temps réel avec alerte des autorités »

« dans les cas les plus extrêmes [ … ] toute violation de quarantaine pourrait conduire à une information en temps réel des forces de l’ordre, à une désactivation du titre de transport, ou encore à une amende prélevée automatiquement sur son compte bancaire »

« il existe des formes de contrôle ou de contrainte plus implicites, mais non moins efficaces : un portique d’entrée dans le métro qui se mettrait à sonner très fort au passage d’une personne contagieuse ou censée être confinée serait dans la plupart des cas suffisamment dissuasif pour qu’il ne soit même pas nécessaire de transmettre cette information aux autorités chargées de contrôler le respect des règles. Début 2021, la presse a rapporté le cas d’un boîtier connecté, porté autour du cou, qui sonnerait (avec un son de 85 décibels) en cas de non-respect des règles de distanciation par les salariés d’une entreprise. L’initiative a été dénoncée comme anxiogène et inacceptable. Techniquement, toutefois, nul besoin d’un boitier autour du cou : un smartphone peut faire la même chose »

Quatre citations extraites du rapport de 182 pages « Crises sanitaires et outils numériques »  produit par la délégation sénatoriale à la prospective  [  ICI  ]. Nous avons tenté de comprendre les raisonnements qui conduisent la délégation sénatoriale à conclure son rapport par les propositions dignes d’une dictature policière. Prenant exemple sur certaines modalités de gestion de la pandémie observées dans les pays d’Asie Orientale, le rapport s’attache ensuite à démontrer que les concepts fondamentaux de proportionnalité et de nécessité dont la CNIL est la gardienne sont désormais caducs, au moins, dans leur forme actuelle.

La gestion de la pandémie dans les pays d’Asie Orientale

Le rapport débute et prend appui sur une étude de la situation sanitaire de divers pays asiatiques (Chine, Hong-Kong, Taïwan, Singapour, Corée du sud et Japon) réalisée (avril 2020) par l’Institut Montaigne, think tank néo-libéral (1), étude intitulée « L’Asie orientale face à la pandémie »  [ ICI ]. Les rédacteurs de l’étude se proposent de comprendre « comment le Japon, la Corée du Sud ou encore Taïwan sont-ils parvenus à éviter un confinement général de leurs populations ou celui de villes entières ? »

Le rapport du Sénat en tire la conclusion que si les pays asiatiques ont mieux géré la crise sanitaire que les pays occidentaux, c’est parce qu’ils ont massivement mis en œuvre des moyens numériques de contrôle de la population, à l’exception du Japon.  Or, cette conclusion nous semble contestable.

Outre que les données statistiques publiées par certains des pays étudiés, dirigés par des dictatures ou des démocraties autoritaires, sont sujettes à caution, de très nombreux autres paramètres peuvent expliquer d’éventuels meilleurs résultats :

• Insularité ou quasi insularité (Taïwan, Corée du Sud, Japon, Singapour, Hong-Kong) qui permettent un contrôle très strict des frontières (comparativement à la France)
• Flux touristiques plus limités qu’en occident.
• Organisation sociale, encadrement des populations et disposition d’esprit des citoyens plus favorables à une discipline sanitaire stricte. Par exemple, le port du masque est habituel dans plusieurs de ces pays depuis des décennies ; en Chine, le quadrillage et le contrôle physique de la population se fait dans les grandes métropoles jusqu’au niveau du pâté d’immeubles, sans parler du contrôle absolu des médias.
• Meilleure organisation administrative et surtout, comme le note l’étude de l’institut Montaigne, très grande réactivité des administrations face au danger pandémique, comme par exemple la mise en place très rapide de tests généralisés ou de contrôles sanitaires draconiens aux frontières terrestres et maritimes et l’imposition de sévères mesures de quarantaine aux arrivants.

Le contrôle numérique intrusif des populations a pu jouer un rôle dans les éventuels meilleurs résultats obtenus par les pays d’Asie orientale ; mais laisser entendre – comme le suggère le rapport du Sénat – que ces contrôles intrusifs ont joué un rôle central dans la maîtrise de la pandémie ne relève pas d’une démarche scientifique, parce qu’il est impossible de quantifier la contribution de chacun des items au meilleur résultat qui aurait été obtenu par les pays asiatiques étudiés.  (2)

La CNIL , la proportionnalité et la nécessité

Après avoir tenté de démontrer que les pays d’Asie orientale, en adoptant des procédures numériques extrêmement intrusives, avaient choisi la bonne procédure, le rapport tente de balayer les obstacles qui pourraient s’opposer en France à un développement du numérique intrusif.

Une des premières cibles est la CNIL, autorité administrative indépendante chargée dans notre pays de protéger les données personnelles en veillant, en particulier, au respect de la directive européenne transcrite en droit français sous le nom de règlement général de protection des données (RGPD) applicable en France à compter du 25 mai 2018.  Le rapport affirme que la CNIL fait preuve d’« un conservatisme juridique lourd de conséquences » (page 92), suggérant ainsi que cette autorité administrative a été ou sera indirectement responsable du développement des pandémies en France. (3) C’est un parfait non-sens, puisque le rôle de la CNIL se limite à veiller à la bonne application de la loi voté par le parlement, donc, aussi, par … le Sénat.

On sait que le RGPD pose des principes, traditionnels en droit public français, de proportionnalité et de nécessité.

Concernant la proportionnalité, le rapport critique les positions de la CNIL en ce qu’elles méconnaissent un nouveau concept juridique selon lequel ce sont les      « libertés numériques » qui devraient être subordonnées aux « libertés physiques » (page 103). Par « libertés physiques » les auteurs entendent la liberté de rester en bonne santé. Les limitations aux libertés individuelles pour motifs de santé publique sont anciennes, nombreuses et légitimes : vaccinations obligatoires, hospitalisation d’office, loi Evin, etc. (voir, par exemple, [ ICI ].

Mais ce que propose le rapport est de nature totalement différente :  ce ne sont pas des limitations d’aller et de venir ou des obligations plus ou moins contraignantes de faire ou de ne pas faire, mais une intrusion massive dans la vie privée des citoyens. Au demeurant, cette opposition numérique/physique, qui est centrale dans le raisonnement développé par le rapport, n’a pas beaucoup de sens. En effet, il suffit de penser au cas du logiciel Israélien « Pégasus » utilisé par certaines dictatures pour espionner les opposants (« libertés numériques »), afin de pouvoir plus efficacement porter atteinte à leurs (« libertés physiques »).

Ce concept central du rapport qui priorise les « libertés » physiques Vs les numériques est idéologiquement le pendant du concept conservateur qui voudrait privilégier ou même opposer sécurité et libertés [  ICI  ]. François Sureau explique : « quand on écoute un homme politique parler, il faut toujours voir ce qu’il met en premier ; par exemple s’il vous dit la liberté c’est bien, mais la sécurité ça compte, vous pouvez être sûr que ce dont il parle, c’est de la sécurité » [  ICI  ] . Ce discours est sous-tendu par la même idéologie qui fait dire à M. Ciotti qu’il faut chercher un « équilibre logique entre droits et devoirs pour les bénéficiaires des prestations sociales » (2011) ; à M. Sarkozy que « les droits sans les devoirs, ça n’existe pas » (2012) ou à M. Macron : « vous avez des devoirs avant d’avoir des droits » (2021). Au fond, ce qui est contesté, c’est l’existence des libertés fondamentales dont tout membre de l’espèce humaine est le dépositaire ; les conservateurs voudraient  les contextualiser, voire le contractualiser ! Les libertés fondamentales ne sont pas négociables.

Concernant le principe de nécessité, le rapport observe que la CNIL n’a pas de compétence médicale et est donc amenée à prendre des décisions dont elle ne maîtrise pas tous les paramètres (4) et reproche aussi à la CNIL d’avoir interdit l’utilisation des caméras thermiques sur la voie publique au motif de l’imprécision des mesures et des cas asymptomatiques. Le rapport conclut cette séquence en élargissant le propos : « Enfin, la défiance historique de la société française à l’égard de la collecte des données personnelles, dont la doctrine actuelle de la CNIL est le reflet, tient à une confusion, rarement formulée en tant que telle, entre les fins (protéger les droits et libertés) et les moyens (interdire les croisements de fichiers) » (page 106). Le rapport prétend qu’il est possible de croiser les fichiers tout en protégeant les données personnelles, alors que de nombreux spécialistes expliquent que ce sont précisément les croisements de masses considérables de données (tel que les pratiquent les GAFAM) qui portent atteinte aux libertés individuelles.

Le crisis data hub

Le crisis data hub peut être défini comme étant une base de données alimentée par des croisements de fichiers, en particulier de fichiers de données personnelles (dont médicales), en principe utilisable uniquement en cas de crise, par exemple, pour contrôler un confinement ciblé.

Pour justifier une éventuelle intrusion massive dans les données personnelles des citoyens et en particulier les données personnelles de santé, le rapport développe une série d’arguments :

• On peut comprendre « la sensibilité française à toute collecte et croisement de données personnelles (allusion, sans doute, à l’utilisation du fichier des juifs sous l’occupation), mais à l’heure actuelle c’est « absurde » puisqu’on donne volontairement aux Gafam « d’avantage d’informations que l’Etat n’en aura jamais ». Cet argument rappelle celui utilisé pour justifier la reconnaissance faciale : « puisque vous mettez vos photos sur les réseaux sociaux, pourquoi la reconnaissance faciale vous poserait un problème ? ». Pour le dire autrement : puisque vous avez mis le petit doigt dans l’engrenage, vous n’avez aucune raison de refuser d’y passer tout le bras, voire plus. Sauf que, d’une part, tous les citoyens ne mettent pas leurs photos sur les réseaux sociaux et, d’autre part, pour le moment, les réseaux sociaux n’ont pas la capacité de nous contraindre physiquement : perquisitions, gardes à vue, prison, etc. (ça viendra peut-être …)

• « Un des arguments les plus fréquemment évoqués à l’encontre du recours au numérique dans la lutte contre le Covid-19 est qu’il s’agirait de méthodes caractéristiques de régimes autoritaires», mais c’est faux, répond le rapport, regardez le Japon, Israël ou l’Estonie (5). Israël ? un pays en guerre depuis 70 ans, grand pourvoyeur de logiciels espions à toutes les dictatures du monde (cf. affaire Pégasus et autres outils numériques d’espionnage) ; pour l’Estonie, cf. note n°2.

• « à l’heure de la révolution numérique, du big data et de l’intelligence artificielle, on ne peut plus raisonnablement soutenir que l’intérêt principal des croisements de fichiers est la surveillance policière, ou l’instauration d’un État totalitaire fantasmé. » Certes, le croisement de données personnelles pourrait être utilisé à d’autres fins que des fins policières comme par exemple la recherche médicale ; en France, l’INSERM mène depuis plus de 20 ans des enquêtes épidémiologiques à grande échelle, sur la base du volontariat. En tout état de cause, ces techniques pourraient aussi être utilisées à des fins policières. Un récent projet de loi (juillet 2021) prévoit, que le fichier médical SI-DEP (Système d’Informations de DEPistage) puisse être consulté par des policiers : « On change complètement la finalité d’un fichier. On l’a créé pour qu’il soit médical et il devient finalement un fichier policier ». [  ICI  ]

• « il existe aujourd’hui des solutions techniques permettant de garantir un très haut niveau de confidentialité et de sécurité » Discours habituel : « faites-nous confiance, tout est sous contrôle ». Or, très régulièrement, la presse se fait l’écho d’intrusions dans des systèmes informatiques parmi les plus protégés au monde comme par exemple le hack de la NSA [  ICI  ]. D’ailleurs, les rédacteurs sont tellement conscients de la faiblesse de cet argument que l’adjectif sécurisé est cité, tel un mantra, 60 fois dans le rapport, pour tenter de bien ancrer l’idée dans la tête du lecteur. Fin août 2021, on apprend que « Plus de 700 000 résultats de tests, et les données personnelles des patients, ont été durant des mois accessibles en quelques clics en raison de failles béantes sur le site de Francetest, un logiciel transférant les données des pharmaciens vers le fichier SI-DEP » (Médiapart 31-8-231)

L’entêtement du rapport à présenter l’intrusion numérique comme l’axe central et incontournable de la politique publique en cas de nouvelle pandémie pose problème ; tout se passe comme si les rapporteurs avaient été hypnotisés par les marchands de solutionnisme techno.  Cette option met de côté toute une série de progrès possibles dans le domaine de la médecine ( tests plus faciles à pratiquer et plus efficaces, nouvelles molécules pour le traitement de la maladie, nouveaux vaccins plus efficaces, faciles à administrer et à diffuser, etc.) ou dans le domaine de l’organisation administrative de la lutte contre la pandémie et particulièrement en tirant les leçons de ce qui a très mal fonctionné lors de l’épisode que nous vivons actuellement et tout particulièrement l’absence de préparation à un tel événement, malgré l’alerte de l’épidémie H1N1 de 2009.

Le rapport insiste à plusieurs reprises sur le caractère limité dans l’espace et dans le temps des procédures ultra intrusives, comme par exemple p 126 : « Le présent rapport propose donc de recourir bien plus fortement aux outils numériques dans le cadre de la gestion des crises sanitaires [ … ] y compris si cela implique d’exploiter des données de manière intrusive et dérogatoire. En contrepartie, ces mesures pourraient être bien plus limitées, à la fois dans leur nature, dans le nombre de personnes concernées, et dans la durée » ; toutefois, l’expérience vécue de ces vingt dernières années montre que les atteintes aux libertés individuelles et collectives présentées comme dirigées contre un unique ennemi (le terrorisme) et pour une durée très brève (état d’urgence) finit toujours, sous la pression policière, par être gravé définitivement dans le marbre de la loi qui s’applique en permanence à tous et plus particulièrement aux opposants, aux journalistes, etc. Il n’y a aucune raison de penser qu’il en irait autrement pour les dispositions si fortement intrusives proposées par la commission prospective du sénat.

*

(1) voir le comité directeur de l’Institut Montaigne [  ICI  ]

(2) Pour parer à toute critique concernant la nature politique des pays étudiés, le rapport étudie aussi le cas d’une démocratie européenne :  l’Estonie, pays doté d’une administration hyper informatisée, a fait l’objet en avril-mai 2007 d’une série de cyber attaques qui ont paralysé administrations et banques  ;  l’exemple de ce très petit pays, le plus septentrional des pays Baltes, avec seulement 1,2 millions d’habitants, peut-il vraiment servir de modèle pour un pays de près de 70 millions d’habitants ?

(3) cette attaque frontale contre les positions de la CNIL se combine de façon assez perverse avec l’assurance donnée que ce ne sont pas les statuts de la CNIL qui sont visés, pas plus que la réglementation européenne du RGPD (Règlement général de protection des données)

(4) comme les tribunaux administratifs, remarque le rapport

(5) Le Japon est cité comme une démocratie qui a utilisé des outils numériques intrusifs (page 101), mais page 22, le rapport indique : « le Japon est, de loin, celui qui a le moins recouru à des mesures fortes, et a fortiori à des outils numériques [ … ]Le Japon est aussi – faut-il y voir un hasard ? – celui de ces pays qui est le plus touché par l’épidémie »