EU Council has withdrawn the vote on Chat Control

By Alex Ivanovs Published 20/06/2024

The EU Council and its participants have decided to withdraw the vote on the contentious Chat Control plan proposed by Belgium, the current EU President.

According to Netzpolitik (German), “The EU Council did not make a decision on chat control today, as the agenda item was removed due to the lack of a majority, confirmed by Council and member state spokespersons”.

Belgium’s draft law, which was supposed to be adopted as the Council’s negotiating position, was instead postponed indefinitely. Although the Committee of Permanent Representatives meets weekly, Belgium cannot currently present a proposal that would gain a majority. In July, the Council Presidency will transfer from Belgium to Hungary, which has stated its intention to advance negotiations on chat control as part of its work program.

At the start of 2022, the European Commission proposed monitoring all chat messages and other forms of digital communication among citizens. This initiative includes client-side scanning for end-to-end encrypted services, meaning all messages would be checked irrespective of suspicion.

The plan targets the detection of both known and unknown abusive material and grooming activities. Experts have cautioned that such measures are prone to generating numerous false positives, particularly when identifying unknown content, leading to innocent citizens being misidentified as senders of abusive material.

European legislation is formed through a trialogue process involving negotiations between the European Commission, the European Parliament, and the Council of Ministers. Initially, the European Parliament rejected the European Commission’s proposal and introduced its own, which, while still critical, excluded end-to-end encrypted services. However, Belgium’s new proposal reintroduced client-side scanning for these services, stipulating that users must consent to chat controls; otherwise, they would lose the ability to send photos, videos, and URLs.

This method, termed “upload moderation” by Belgium, has been criticized by opponents as merely a rebranding of the original concept.

Signal and other apps threaten to leave the EU if the proposal is enacted as law

Meredith Whittaker, president of the chat app Signal, has been vocal against these plans. She argues that implementing such measures within end-to-end encrypted communications fundamentally undermines encryption and introduces significant vulnerabilities in the digital infrastructure.

Whittaker emphasizes that these vulnerabilities have far-reaching global implications, not just within Europe. She has repeatedly highlighted the issue, stating, “There is no way to implement such proposals without fundamentally undermining encryption and introducing dangerous vulnerabilities.”

On June 17, Whittaker published an official position condemning the EU’s proposed “upload moderation” as a rebranding of client-side scanning that fundamentally undermines end-to-end encryption.

She emphasized that despite attempts to mask the dangers through marketing, these measures expose encrypted communications to mass surveillance, creating vulnerabilities exploitable by hackers and hostile nations. Whittaker urged a cessation of such rhetorical games, reiterating that any form of mandated mass scanning compromises encryption, thereby threatening global security and privacy at a critically unstable geopolitical moment.

The privacy messenger Threema published a blog post saying the EU’s proposed Chat Control bill represents a dangerous mass surveillance initiative that would undermine data security, violate privacy rights, and negatively impact professionals and minors.

Patrick Breyer, the outgoing MEP from the Pirate Party, raised concerns, noting that proponents of chat control have leveraged the period following the European elections, when attention is lower and the European Parliament is in transition, to advance their agenda. Breyer has called on European citizens to take action and urge their politicians to oppose the measures.

Edward Snowden, the NSA whistleblower, criticized the proposal, stating, “EU apparatchiks are trying to legislate a terrible mass surveillance measure, despite universal public opposition (no sane person wants this), by inventing a new word for it – upload moderation – and hoping no one finds out what it is until it’s too late.”

What happens next?

With the EU Council withdrawing the vote on the Chat Control proposal today, the legislative process faces new uncertainty. The proposal will return to the drawing board, as the European Commission[1] and the European Parliament continue to deliberate on the best way forward.

The discussions will resume after the summer, once the new Parliament is seated and Hungary assumes the Council presidency from Belgium in July. Hungary has already committed to developing a comprehensive legislative framework to prevent and combat online child sexual abuse and revising the directive against the sexual exploitation of children.

The forthcoming negotiations are anticipated to be highly contentious, especially since the European Parliament has firmly opposed any measures that would circumvent end-to-end encryption. The Member States and the Parliament have until April 2026 to agree. This deadline is crucial, as an existing exemption allowing social networks to self-moderate content will expire, potentially eliminating current safeguards against sharing sensitive images.

In the meantime, privacy advocates and digital rights organizations will likely continue to voice their concerns, urging EU citizens to remain vigilant and engaged in the debate over digital privacy and surveillance. The next steps will involve intense negotiations and potential revisions to address the complex issues at stake.

[footnote #1]: On June 20, at the European Data Protection Supervisor (EDPS) 20th anniversary summit, EU Commissioner for Justice Vera Jourová stated that the European Commission’s proposal for the Child Sexual Abuse Regulation (CSAR) would break encryption. This marks the first time the European Commission has publicly acknowledged that the CSAR proposal would compromise encryption, a significant departure from the stance maintained over the past three years by Home Affairs Commissioner Ylva Johansson, who consistently claimed that the proposal would not affect encryption.

Scientists Are Getting Eerily Good at Using WiFi to 'See' People Through Walls in Detail

The signals from WiFi can be used to map a human body, according to a new paper.

January 17, 2023, 7:50pm

Researchers at Carnegie Mellon University developed a method for detecting the three dimensional shape and movements of human bodies in a room, using only WiFi routers.

To do this, they used DensePose, a system for mapping all of the pixels on the surface of a human body in a photo. DensePose was developed by London-based researchers and Facebook’s AI researchers. From there, according to their recently-uploaded preprint paper published on arXiv, they developed a deep neural network that maps WiFi signals’ phase and amplitude sent and received by routers to coordinates on human bodies.

Researchers have been working on “seeing” people without using cameras or expensive LiDAR hardware for years. In 2013, a team of researchers at MIT found a way to use cell phone signals to see through walls; in 2018, another MIT team used WiFi to detect people in another room and translate their movements to walking stick-figures.

The Carnegie Mellon researchers wrote that they believe WiFi signals “can serve as a ubiquitous substitute” for normal RGB cameras, when it comes to “sensing” people in a room. Using WiFi, they wrote, overcomes obstacles like poor lighting and occlusion that regular camera lenses face.

Interestingly, they position this advancement as progress in privacy rights; “In addition, they protect individuals’ privacy and the required equipment can be bought at a reasonable price,” they wrote. “In fact, most households in developed countries already have WiFi at home, and this technology may be scaled to monitor the well-being of elder people or just identify suspicious behaviors at home.”

They don’t mention what “suspicious behaviors” might include, if this technology ever hits the mainstream market. But considering companies like Amazon are trying to put Ring camera drones inside our houses, it’s easy to imagine how widespread WiFi-enabled human-detection could be a force for good—or yet another exploitation of all of our privacy.

DensePose From WiFi

Jiaqi Geng, Dong Huang, Fernando De la Torre 31 Dec 2022

Abstract

Advances in computer vision and machine learning techniques have
led to significant development in 2D and 3D human pose estimation
from RGB cameras, LiDAR, and radars. However, human pose esti-
mation from images is adversely affected by occlusion and lighting,
which are common in many scenarios of interest. Radar and LiDAR
technologies, on the other hand, need specialized hardware that is
expensive and power-intensive. Furthermore, placing these sensors
in non-public areas raises significant privacy concerns.

To address these limitations, recent research has explored the use
of WiFi antennas (1D sensors) for body segmentation and key-point
body detection. This paper further expands on the use of the WiFi
signal in combination with deep learning architectures, commonly
used in computer vision, to estimate dense human pose correspon-
dence. We developed a deep neural network that maps the phase
and amplitude of WiFi signals to UV coordinates within 24 human
regions. The results of the study reveal that our model can estimate
the dense pose of multiple subjects, with comparable performance
to image-based approaches, by utilizing WiFi signals as the only
input. This paves the way for low-cost, broadly accessible, and
privacy-preserving algorithms for human sensing.

Densepose

Official website of densepose

“Menace contre l’État” : le Kenya s’attaque au scan de l’iris pratiqué par Worldcoin

Le projet lancé par Sam Altman, l’un des fondateurs d’OpenAI, veut promouvoir une nouvelle cryptomonnaie sécurisée par des données biométriques, à savoir le dessin de l’iris. Au Kenya, elle aurait scanné l’iris de 350 000 personnes en échange d’une somme d’argent en monnaie virtuelle.

Publié le 12 octobre 2023 à 16h32 Lecture 1 min.

Début août encore, le quotidien kényan The Standard publiait des photos des longues files d’attente qui se formaient à Nairobi. De nombreux habitants s’étaient rassemblés en différents endroits de la capitale pour faire scanner leur iris en échange d’une somme d’argent en cryptomonnaie. L’opération était l’œuvre de Worldcoin, fondé en 2019 par Sam Altman, cofondateur d’OpenAI. Son objectif est de lancer une nouvelle monnaie virtuelle associée à un système d’identification biométrique anonyme.

Mais ce projet semble peu apprécié des autorités locales. Après que le gouvernement a ordonné, le 2 août, la suspension provisoire des scans effectués par Worldcoin, des parlementaires kényans ont publié un rapport, fin septembre, réclamant l’arrêt définitif de ses activités, explique le journal britannique The Daily Telegraph. Ils invoquent une “menace contre l’État” et accusent Worldcoin d’“espionnage”.

Ces derniers émettent des doutes sur la manière dont ces données biométriques sont stockées et craignent de les voir échangées illégalement contre de l’argent. Le rapport parlementaire attire aussi l’attention sur le risque que représente l’émergence d’une monnaie décentralisée pour le système financier du pays.

“Nouvelle fièvre mondiale”

The Daily Telegraph précise que plusieurs millions de personnes à travers le monde ont déjà accepté de passer devant le scanner de Worldcoin.

“L’appareil, qui a la forme d’un ballon de football, scanne l’iris des individus pour confirmer leur identité et leur créer un compte.”

Au Kenya, les personnes ayant participé à l’opération ont reçu en récompense 25 jetons non fongibles de la nouvelle cryptomonnaie worldcoin, qu’ils pouvaient ensuite échanger en monnaie physique. La valeur de ces 25 jetons se situe aujourd’hui autour de 40 euros.

Worldcoin a été accusé de tirer profit des conditions de vie précaires de populations pauvres pour mettre en place son projet. “Confrontés qu’ils sont à un coût de la vie très élevé, à un chômage important et à des salaires qui ne bougent pas, les Kényans ont bondi sur cette occasion de gagner de l’argent sans rien faire, grâce au projet Worldcoin, qui a déclenché une nouvelle fièvre mondiale”, écrit The Standard.

Selon les informations du journal kényan Nation, qui cite les travaux du comité national chargé de la cybersécurité, plus de 350 000 Kényans auraient fait scanner leur iris.

Supprimer les VPN, lever l’anonymat sur Internet… Pourquoi nos politiques proposent-ils des idées irréalistes ?

1 octobre 2023 à 08:21 par Stéphanie Bascou

Pourquoi des députés ont-ils proposé de supprimer les VPN ou de lever l’anonymat à l’occasion du projet de loi SREN ? Outre les méconnaissances technique et juridique déplorées par des spécialistes, ces deux idées seraient un savant mix de plusieurs éléments : l’absence d’auditions d’experts, une culture du compromis inexistante, la volonté de se faire un nom… le tout mettant en danger nos libertés fondamentales.

« C’était le concours Lépine de l’idée la plus clivante ». Ces dernières semaines, les propositions destinées à « mettre fin au Far West du numérique » se sont multipliées à l’occasion du projet de loi SREN (visant à sécuriser et à réguler l’espace numérique) en discussion à l’Assemblée nationale. Face à plusieurs cas tragiques de suicides d’adolescents victimes de cyberharcèlements, certains députés ont proposé, dans des amendements au projet de loi, des mesures chocs comme lever l’anonymat qui régnerait sur le Web ou supprimer les VPN… Ces mesures, irréalisables techniquement ou dangereuses du point de vue de nos droits fondamentaux, ont suscité la levée de boucliers de défenseurs des libertés fondamentales. Des informaticiens ont pris soin de déconstruire une à une ces propositions, déplorant des idées déconnectées des réalités, comme chez nos confrères de France 3.

« Quand on dit que ce qui est interdit dans le monde physique doit l’être dans le numérique. C’est trop simple, trop lapidaire et pas nuancé », a martelé en commission le député MoDem Philippe Latombe, mardi 19 septembre. Et si la majorité de ces idées a finalement été retirée des amendements du projet de loi, la question demeure : pourquoi les Parlementaires sont-ils allés vers le « trop simple » et techniquement irréalisable, voire peu souhaitable ?

Le monde de l’Internet libre contre le monde de l’Internet régulé

Premier constat : ce n’est pas la première fois que ce type de mesures — aux objectifs plus que louables, mais décorrélés de la façon dont fonctionne le Web — finissent sur la place publique. Oui, il faut tout faire pour mettre fin au cyberharcèlement, et oui, il faut protéger davantage les mineurs. Mais le problème est que « les députés (sont) toujours aussi nuls sur les lois numériques », regrette ce blogueur anonyme, le 19 septembre dernier.

Lors de la loi Avia (2020) ou la loi Hadopi (2009), des débats similaires ont eu lieu. « À chaque fois que vous avez une nouvelle loi sur Internet, il y a deux mondes qui s’affrontent : le monde d’un Internet libre et celui d’un Internet régulé », commente Eric Barbry, avocat associé du Cabinet Racine. « Entre les deux, il y a ceux qui essayent des voies pour réguler le tout dans des conditions satisfaisantes. Mais vous ne pouvez pas empêcher une frange de la classe politique de vouloir aller le plus loin possible et donc amener vers l’interdiction de l’anonymat » en ligne, ajoute l’avocat spécialisé en droit du numérique.

Le rapporteur du projet de loi et député Renaissance Paul Midy a ainsi défendu l’idée d’associer un compte d’un réseau social à une identité numérique, prônant « la fin de l’anonymat au profit du pseudonymat ». Le système fonctionnerait sur le même principe qu’une plaque d’immatriculation. Pourtant, l’anonymat n’existe pas sur le Web : les enquêteurs parviennent toujours à retrouver les auteurs de cyberharcèlement ou de menace de mort, même si cela prend souvent bien trop de temps.

Le député Renaissance Mounir Belhamiti a, de son côté, défendu l’idée de supprimer les VPN alors qu’ils sont très utilisés, par les policiers, les journalistes, les ingénieurs en cybersécurité ou les entreprises. Dans certains pays, les VPN sont un moyen de contourner la censure sur le Web. Face au tollé, ce parlementaire a finalement rétropédalé. D’autres mesures contenues dans le projet de loi, comme le bannissement des cyberharceleurs des réseaux sociaux, se heurtent aussi à la faisabilité technique, car cela reviendrait à obliger les plateformes à surveiller activement le fait que tel internaute ne se recrée pas de compte. Mais alors, pourquoi avoir émis de telles idées ?

« On se croit expert du numérique parce qu’on a un compte TikTok »

« La majorité des gens, nos politiciens sont dans ce cas-là, se croient plus ou moins experts de l’usage des outils numériques parce qu’ils s’en servent, ou parce qu’ils ont un compte TikTok », souligne Benjamin Bayart, militant pour les droits numériques et cofondateur de la Quadrature du Net. Mais « cela ne veut pas dire qu’ils ont compris comment ça marche, ni ses effets sur la société. Quand on change les outils avec lesquels les humains communiquent, on change la façon dont la société se fabrique », ajoute-t-il. « Sans parler du fait qu’en plus, techniquement, ils ne comprennent rien à la manière dont fonctionnent les ordinateurs. C’est ce qui fait qu’ils se disent “on va interdire les VPN” sans avoir la moindre idée de ce à quoi ça touche », poursuit-il.

« La plupart des experts de ces questions avec qui je me suis entretenu m’ont tous dit qu’ils n’avaient pas été auditionnés (par les députés, ndlr), ou qu’ils n’avaient jamais fait partie des débats. Donc je me demande en fait sur qui on s’est appuyé pour émettre ce genre de propositions », s’interroge Tariq Krim, ancien co-président du Conseil du numérique, entrepreneur et initiateur du mouvement Slow Web.

Les députés ne sont pas censés être spécialistes de tout. Mais lorsqu’ils doivent prendre des décisions, en particulier dans des domaines qu’ils ne maîtrisent pas, il est généralement attendu qu’ils s’appuient sur des experts du sujet en question. Mais même quand ces auditions ont lieu, le bât blesse. « Les parlementaires devraient s’adresser aux chercheurs qui travaillent sur ces sujets depuis des années. Ils devraient éviter tous ceux qui ont des choses à vendre, comme la première startup qui passe et qui dit “regardez j’ai la solution qui va super bien marcher dans le Web3, je crois qu’elle va permettre d’identifier tout le monde” », tacle Laurent Chemla, informaticien et cofondateur de Gandi. Même son de cloche pour l’avocat en droit du numérique Alexandre Archambault, qui décrit un législateur qui « n’auditionne que les proches ou les gens qui sont d’accord avec lui ».

« La France peut dicter des choses à Copains d’avant et Doctissimo, mais c’est tout »

Les juristes semblent aussi avoir manqué à l’appel, puisque les députés sont repartis d’une page blanche, alors qu’ils étaient censés, avec ce projet de loi, transposer un règlement européen, le DSA (« Digital Services Act » ou règlement européen sur les services numériques). Ils auraient dû se cantonner à des dispositions à la marge, comme nommer les autorités nationales de contrôle. Imposer davantage d’obligations aux réseaux sociaux ou aux plateformes du Web, « cela relève (désormais, depuis le DSA) soit exclusivement de la Commission européenne, soit du pays d’établissement (le pays dans lequel une entreprise a son siège européen, souvent l’Irlande pour les géants du numérique) – donc la France peut dicter des choses à Copains d’avant et Doctissimo, mais c’est tout », résume Maître Alexandre Archambault. Ces deux plateformes ont leur siège social en France.

Cela ne veut pas dire que le « DSA soit gravé dans le marbre. La Commission européenne dit simplement : si on veut améliorer la protection des mineurs ou mieux lutter contre les contenus haineux ou la désinformation, mettons-nous autour d’une table et voyons comment améliorer les choses – mais au niveau européen. Mais si chaque pays le fait en ordre dispersé, chacun dans son coin – comme le fait la France – c’est intenable », ajoute-t-il. C’est le sens « *d*es observations très sévères de la Commission européenne du 2 août dernier, qui visent directement le projet de loi SREN ». L’auteur de ces observations, Thierry Breton, le commissaire européen au Marché intérieur , dit en substance : « vous ne pouvez pas contraindre les entreprises du Web à davantage d’obligations que ce que le droit européen prévoit. Ce n’est ni fait ni à faire, ça participe à la fragmentation du droit de l’Union, on s’y opposera. Et là, vous avez nos parlementaires qui n’en tiennent pas compte et qui sont dans une fuite en avant », poursuit Maître Archambault, déplorant « une nouvelle loi de circonstances, dictée par l’émotion ».

« La seule façon qu’ils ont d’exister, c’est de faire le pitre »

Mais alors, pourquoi avoir prôné ces mesures de suppression des VPN ou d’anonymat ? Chez la majorité des experts que nous avons interrogée, la même explication est donnée. Les Parlementaires se livreraient à « un concours Lépine des mesures les plus clivantes » parce que ce serait, pour eux, une façon de se faire un nom, regrette Maître Archambault. « La seule manière qu’ils ont d’exister, c’est de faire le pitre. En France, le pouvoir législatif est extrêmement faible, on l’a vu avec la réforme des retraites. Et donc les députés font n’importe quoi pour exister », abonde Benjamin Bayart. « D’autant qu’à l’Assemblée nationale, on ne cherche pas à trouver des compromis, comme c’est le cas au Parlement européen, où pour qu’un texte passe, il faut qu’on trouve un consensus entre plusieurs groupes. Ce qui veut dire que toutes les solutions un peu trop aberrantes vont être écartées, ce qui n’est pas le cas en France », ajoute-t-il.

Résultat, le rapporteur de la loi, Paul Midy, était peu connu jusqu’alors. Mais avec sa sortie médiatique sur la levée d’anonymat, il est passé dans tous les médias. Et cela a eu une conséquence : l’idée d’avoir à s’identifier avec une pièce d’identité pour utiliser les réseaux sociaux, comme celle de supprimer les VPN, ont été largement partagées. Et elles pourraient finir par infuser dans la société, s’alarme Laurent Chemla.

Pour le militant des libertés numériques, « on essaie de pousser des idées qu’on sait irréalisables pour amener petit à petit dans l’esprit du public l’idée qu’il faut effectivement réguler la parole publique, réguler les réseaux sociaux, empêcher les gens d’avoir une liberté d’expression totale. À force de répéter, depuis plus de 27 ans, qu’Internet est une zone de non-droit, on arrive à faire passer dans l’esprit du public que oui, c’est vrai, il y a un problème avec Internet, que ce n’est pas normal que n’importe qui puisse dire n’importe quoi. Donc il y a cette volonté de faire évoluer l’opinion publique vers plus de contrôle de la parole des citoyens, et pour ça, on va proposer des choses qu’on sait irréalistes, qui petit à petit amènent à ce type de propositions », analyse-t-il.

Car avec la technologie, il y a désormais une possibilité de traçage qui n’existait pas jusqu’alors, reconnaît Pierre Beyssac, porte-parole du Parti Pirate et cofondateur de Gandi. « Lorsqu’on établit une connexion réseau ou mobile, il faut savoir où est l’utilisateur. Il est donc tentant pour la police, qui connaît ce fonctionnement technique, d’exploiter cette technologie pour lutter contre le crime et la délinquance ». Mais ce n’est pas parce que cette possibilité existe qu’il faut l’utiliser.

Car « si on y réfléchit, cela reviendrait à vouloir rendre impossible tout ce qui pourrait être illégal sur internet », abonde Laurent Chemla. Or, « dans la vie réelle, ça n’est pas impossible de commettre des délits, ou des crimes, c’est puni a posteriori, mais ça n’est pas rendu impossible a priori, sinon on aurait une caméra derrière la tête de tous les citoyens en permanence », souligne l’informaticien. « Sur Internet, on a l’impression que toutes ces mesures (contrôle d’identité des internautes, suppression des VPN) ont un objectif : rendre tous les crimes, tous les délits, toutes les dérives impossibles a priori, et ça, c’est délirant, on ne peut pas faire ça », estime-t-il.

« On se dit, puisqu’on peut surveiller tout le monde, on surveille tout le monde »

Et si beaucoup comprennent l’argumentaire des policiers qui disent : « “si on ne nous laisse pas surveiller la population et accéder à toutes les données numériques auxquelles on peut accéder en surveillant les gens, ça rend les enquêtes plus compliquées”, il faut rappeler que dans la vie réelle aussi, les enquêtes sont compliquées », insiste Laurent Chemla. « J’avais regardé les chiffres sur les vols de bagnoles, il y a 6 % de résolution et 94 % de vols qui restent impunis. Et pourtant, on ne cherche pas à empêcher complètement les vols de bagnole en mettant des caméras dans tous les garages. Mais évidemment, vu que c’est numérique, on se dit, puisqu’on peut surveiller tout le monde, on surveille tout le monde », souligne-t-il.

On serait passé de « tout le monde est innocent jusqu’à preuve du contraire » à « tout le monde est coupable jusqu’à preuve du contraire », regrette Benjamin Bayart, au sujet par exemple de l’accès des mineurs aux sites pornographiques. « Au “il ne faut pas que les mineurs accèdent à du porno”, la seule réponse qu’on a, c’est : “il va falloir que la totalité des adultes prouvent qu’ils sont adultes à chaque clic qu’ils font” », note-t-il.

« Par défaut, vous êtes suspect »

Comme nous vous l’expliquions en mars dernier, une autre proposition de loi (instaurant une majorité numérique et visant à lutter contre la haine en ligne), promulguée en juillet dernier, évoque, pour les sites pornographiques, la mise en place, pour s’assurer de la majorité d’un utilisateur, d’une solution technique – qui n’existe pas encore. Il s’agirait de passer par un tiers de confiance qui délivrerait un jeton et qui confirmerait la majorité de l’utilisateur au site en question, vraisemblablement à chaque connexion.

Problème : cela fait des mois que cette solution serait expérimentée, sans qu’aucun retour ne fuite. Seule nouvelle récente de cette « expérimentation » : Jean-Noël Barrot, le ministre délégué chargé du Numérique, a concédé à demi-mot que cela ne fonctionnait pas pour l’instant à 100 %. « Je ne dis pas que ça marche à plein tube », déclarait-il le 20 septembre dernier, chez nos confrères de Tech&Co. Pour beaucoup, la solution évoquée dans la loi et expérimentée connaîtra la même trajectoire que celle observée au Royaume-Uni et en Australie. Ces deux pays avaient aussi voulu mettre en place un contrôle d’âge similaire, avant d’y renoncer, faute d’avoir trouvé une solution qui fonctionne.

Or, avec un tel système, « il y a cette idée qui s’instille dans la tête des gens que c’est à vous de prouver que vous êtes innocent parce que par défaut, vous êtes suspect. Et il vous faut le prouver en permanence, pas le prouver une et une seule fois, mais le prouver tout le temps, tout le temps, tout le temps », répète Benjamin Bayart.

Alors comment faire pour éviter ce changement de paradigme et voir à nouveau ces propositions trop rapides et parfois dangereuses finir dans le débat public ? Comment préserver nos libertés, tout en luttant contre le cyberharcèlement et en protégeant mieux les mineurs ?

Pourquoi il y a 120 magistrats dédiés aux problématiques numériques à Berlin, alors qu’à Paris, ils ne sont que six ?

Côté Parlement, il faudrait redonner du pouvoir aux députés, avance Benjamin Bayart. Et que ces derniers fassent davantage de contrôle de l’action publique, comme d’autres pays le font, estime Maître Archambault. « Plutôt que de passer par des nouvelles lois, on fait des commissions d’enquête, en demandant par exemple pourquoi il y a 120 magistrats dédiés aux problématiques numériques à Berlin, alors qu’à Paris, ils ne sont que… six. Pourquoi il faut trois ans – soit une éternité – pour que les harceleurs de Mila ou de Hoschi soient condamnés, alors qu’elles ont la chance d’être entourées de bons conseils ? »

Que les politiques écoutent davantage les experts, que les médias couvrent plus les cas de condamnation de cyberharceleurs, et qu’il y ait bien plus de moyens alloués à la justice et à la prévention du cyberharcèlement font partie des pistes d’amélioration citées. Mettre en place de grandes campagnes nationales, comme on l’a fait avec l’alcool dans les années 80, où on est passé « de la répression à la prévention », est également mentionné.

Dans ce débat, il ne faut surtout pas perdre de vue nos droits fondamentaux

Il faudrait aussi pouvoir lever plus facilement l’anonymat en cas de harcèlement en ligne ou de propos injurieux ou diffamatoires, explique Maître Barbry. Il s’agit d’un point de procédure qui a son importance. « Pour la suppression des contenus, on a de plus en plus recours aux moyens proposés les plateformes en ligne, mais c’est très aléatoire et nettement insuffisant. Et avoir la possibilité d’identifier les personnes est devenu très compliqué. Or, le seul moyen de réparer un préjudice, c’est d’avoir quelqu’un en face de vous qui répond de ses actes », relève-t-il. La raison ? Un changement des règles qui impose désormais, quand on cherche à savoir qui est derrière un compte de cyberharceleur, de passer par une procédure accélérée au fond et non plus en référé. « La procédure est plus juste d’un point de vue procédural, mais bien plus longue et complexe pour les victimes », résume-t-il.

Pour Pierre Beyssac, il faut désormais accepter que « le monde d’aujourd’hui avec les réseaux n’est plus celui d’autrefois. Il faut essayer de trouver des solutions adaptées, en évitant de céder à la tentation d’utiliser la technologie pour réduire nos libertés », souligne l’informaticien à la tête d’Eriomem. « Notre vie de tous les jours étant de plus en plus appuyée sur ces réseaux, nos droits fondamentaux vont en dépendre de plus en plus », estime-t-il. « *I*l est donc essentiel de les défendre bec et ongle, et de *t*out faire pour ne pas se tirer une balle dans le pied, sur la société que l’on veut construire ».

Et maintenant, l’interdiction de certains VPN en France sur smartphone ?

Julien Lausson : L'amendement qui assume son inefficacité

Certains VPN pourraient être exclus de l’App Store et de Google Play en France. Un amendement souhaite conditionner leur visibilité sur les boutiques d’applications pour smartphone au bon respect de la loi.

Nouvel assaut contre les VPN à l’Assemblée nationale, alors que le projet de loi sur la sécurisation et la régulation de l’espace numérique (dite loi SREN) entre en débat en séance publique à partir du 4 octobre. En effet, des députés du groupe Horizon et apparentés (centre droit) soutiennent un nouvel amendement qui entend exclure certains VPN de l’App Store (iOS) et de Google Play (Android).

L’objectif affiché de l’amendement est d’empêcher les internautes d’accéder à des applications de VPN qui permettraient « l’accès à un réseau Internet non soumis à la législation et règlementation française ou européenne ». Mais, considérant que les fournisseurs de ces VPN pourraient ne pas jouer le jeu, les députés misent donc sur Google et Apple pour faire le tri.

En effet, la proposition de mise à jour législative entend confier aux deux sociétés américaines la mission de faire la police sur chaque store. Ainsi, Google Play et l’App Store doivent s’assurer de ne garder que les applications en conformité avec la législation. Sinon, la boutique fautive s’exposera à une amende pouvant atteindre 1 % de son chiffre d’affaires mondial.

Ce n’est pas la première fois que la question des VPN est abordée dans le cadre du projet de loi SREN. En commission, un autre amendement — retiré depuis — avait été déposé pour interdire l’utilisation d’un VPN pour interagir activement sur un réseau social. En clair, l’utiliser pour consulter le site communautaire, oui. S’en servir pour publier ou commenter, non.

L’amendement, qui figure parmi le bon millier déposé en séance publique, et qui suit les 952 examinés en commission, doit encore être débattu, à supposer qu’il ne soit pas déclaré irrecevable par les services de l’Assemblée nationale. Les VPN font par ailleurs l’objet de deux autres amendements, mais qui demandent la production de rapports (amendements 662 et 916).

Des faiblesses techniques déjà relevées

Signalé sur X par le journaliste Marc Rees, l’amendement fait face à des limites techniques notables. D’abord, il n’adresse en aucune façon la possibilité de se servir d’un VPN sur son ordinateur. Or, les solutions du marché fournissent tout le nécessaire pour se connecter à un réseau privé virtuel depuis un PC sous Windows, Mac ou Linux.

Autre enjeu : il est possible d’installer une application en zappant la boutique officielle. Cela demande un peu d’huile de coude, et tout le monde ne saura pas (ou n’osera pas) installer un APK sur son smartphone, mais cela reste une manipulation accessible. Sur un strict plan de sécurité informatique, ce n’est toutefois pas le plus conseillé, si l’on ignore ce que l’on fait.

On peut installer une application mobile sans passer par une boutique officielle

Toujours est-il que c’est cette méthode qui est utilisée pour récupérer des applis avant l’heure (Threads, ChatGPT, Mario Kart), par exemple pour ne pas être soumis à un quelconque blocage géographique… C’est aussi d’ailleurs comme cela que l’on peut installer une vieille version d’une application mobile, pour assurer une compatibilité ou retrouver une fonctionnalité.

Les limites techniques apparaissent d’ailleurs admises par les parlementaires eux-mêmes, qui se disent « conscients de l’impossibilité technique d’encadrer le recours à des VPN, notamment dans un but de contournement de la loi ». Il s’agirait moins de proposer un amendement applicable que de soulever le sujet « afin, à terme, de trouver une solution technique pertinente et efficace. »

How Mastercard sells its ‘gold mine’ of transaction data

Mastercard knows where people shop, how much they spend, and on what days - and it sells that information online.

R.J. Cross - Director, Don't Sell My Data Campaign, U.S. PIRG Education Fund; Policy Analyst, Frontier Group

Today, many of the companies we interact with on a daily basis have found a new revenue stream: selling their customers’ data. There are huge markets for personal data, bought by companies ranging from advertisers and tech companies, to hedge funds and data brokers.

Credit card data in particular is extremely valuable. Knowing how much people spend, where and on what day says a lot about consumers’ financial situations, their personal lives and the decisions they might make in the future.

In the last decade, Mastercard has increasingly capitalized on the transaction data it has access to in the course of being a payment network. Mastercard sells cardholder transaction data through third party online data marketplaces and through its in-house Data & Services division, giving many entities access to data and insights about consumers at an immense scale.

Mastercard is far from the only company engaged in data sales, nor is it necessarily the worst actor. But in its position as a global payments technology company, Mastercard has access to enormous amounts of information derived from the financial lives of millions, and its monetization strategies tell a broader story of the data economy that’s gone too far.

Mastercard sells data on third party data marketplaces

Mastercard sells bundles of cardholder transaction data to third party companies on large online data marketplaces. Here, third parties can access and use information about people’s spending to target advertisements to individuals, build models that predict consumers’ behavior, or prospect for new high-spending customers.

For example, Mastercard’s listing on Amazon Web Services Data Exchange states that companies can access data like the amount and frequency of transactions, the location, and the date and time. Mastercard creates categories of consumers based on this transaction history, like identifying “high spenders” on fast fashion or “frequent buyers” of big ticket items online, and sells these groupings, called “audiences”, to other entities. These groups can be targeted at the micro-geographic level, and even be based on AI-driven scores Mastercard assigns to consumers predicting how likely they are to spend money in certain ways within the next 3 months.

The data Mastercard monetizes on these marketplaces is in aggregated and anonymized bundles. Aggregating and anonymizing consumer data helps cut down on some of the risks associated with data monetization, but it does not stop reaching people on an individual level based on data. High-tech tools connected to these third party data marketplaces allow companies to target and reach selected individuals based on traits like past spending patterns or geographic location.

Mastercard is a listed data provider on many of the major online data marketplaces. In addition to Amazon Web Services Data Exchange, Mastercard has listings on Adobe’s Audience Marketplace, Microsoft’s Xandr, LiveRamp, and Oracle’s BlueKai, among others. Selling data on even one of these makes consumer transaction behavior available to a significant number of entities.

Mastercard has established its own data sales division

In addition to data sales on third party marketplaces, Mastercard also has its own Data & Services division. Here, Mastercard advertises access to its databases of more than 125 billion purchase transactions through its more than 25 data services products. Some products give companies the chance to pay for cybersecurity and fraud detection tools. Others are focused on the monetization of consumer information for AI-driven consumer modeling and highly-targeted advertising.

For example, Intelligent Targeting enables companies to use “Mastercard 360° data insights” for identifying and building targeted advertising campaigns aimed at reaching “high-value” potential customers. Companies can target ads to selected consumers with profiles similar to Mastercard’s models – people it predicts are most likely to spend the most money possible.

Another data services product, Dynamic Yield, offers dashboard tools allowing companies to “capture person-level data” of website or app users, do A/B consumer testing, and “algorithmically predict customers’ next purchase with advanced deep learning and AI algorithms”. One of Dynamic Yield’s data products, Element, advertises that companies can “[l]everage Mastercard’s proprietary prediction models and aggregated consumer spend insights to deliver differentiating personalization that caters to each users’ unique habits and expectations like never before.” While the transaction data Mastercard offers may be aggregated, it’s clearly used to identify targets and reach them at the individual level.

Another example is SessionM, Mastercard’s customer data management platform product, allowing companies to combine their first-party data with data from other sources to create “360 degree” profiles of consumers that can be updated in real time based on purchases.

“That gold mine of data”: Mastercard has been building its data monetization capabilities for over a decade

In the last 15 years, Mastercard’s data monetization strategies have been a growing part of its revenue stream. In 2008, Mastercard’s then head of Global Technology and Operations said in an interview that a big question for Mastercard was how to “leverage that gold mine of data that occurs when you have 18.7 billion transactions that you’re processing.” By 2013 the company had established an in-house data monetization division – then called Information Services – and was approaching online advertising and media desks about opportunities to leverage its then reportedly 80 billion consumer purchases data. In 2018, Bloomberg reported that Mastercard and Google made a deal to provide credit card data for Google’s ad measurement business.

Recently, corporate acquisitions have helped drive Mastercard’s data revenue growth. In 2019, MasterCard acquired the AdTech platform SessionM, and in 2021 bought the AI company Dynamic Yield from McDonald’s. We briefly outline both platforms in the section above.

Selling data can harm consumers

Almost every company we interact with collects some amount of data on us. Often it’s more information than they really need – and it’s often used for secondary purposes that have nothing to do with delivering the service we’re expecting to get. This way of doing business unnecessarily increases the risks for regular people whose data has become a commodity, often without their knowledge.

Security and scams

When companies engage in data harvesting and sales to third parties, it increases the personal security risks for consumers. The more companies that hold a person’s data, the more likely it is that information will end up exposed in a breach or a hack. Once exposed, consumers are much more likely to become the victim of identity theft or financial fraud, and experience serious damage to their credit score.

Data sales also increase the odds scammers will gain access to personal data, allowing for the construction of targeted predatory schemes. Data brokers that often rely on other companies’ collection of consumer data have furnished scammers looking to find ideal victims with data, like identifying patients with dementia for targeting with fake lottery scams.

Annoying and invasive targeted advertising

Data sales often flow into the advertising industry, fueling the inundation of people’s screens with ads they didn’t ask to see that range from annoying to creepily invasive. In the 1970s, the average American saw between 500-1,600 ads a day; today, powered by data-driven online advertising, it’s now estimated at 5,000 ads daily, spanning across traditional ads on TV, radio and billboards, and targeted digital ads on websites, social media, podcasts and emails.

Advertising often encourages consumers to spend more money on purchases unlikely to shore up their financial health in the long-term. Americans currently owe more than $1 trillion in credit card debt – a record high. In today’s market with rising interest rates, endless data-driven appeals to spend more money play an increasingly unhelpful and potentially dangerous role in people’s lives.

While consumers have official government channels for opting out of junk calls and junk mail, there’s little consumers can do to protect their screens from unnecessary annoying, distracting and invasive ads they didn’t ask to see and didn’t give permission to have their data fuel.

Even aggregated and anonymized data can cause harm

Some tools companies use to protect privacy are not as secure as they sound, like aggregation and anonymization. A 2015 MIT study found this was the case with anonymized credit card data. Using an anonymized data set of more than 1 million people’s credit card transactions made over 3 months, MIT researchers could identify an individual 90% of the time using the transaction information of just 4 purchases. Data that’s provided in batches also has its limitations. For instance, providing data by micro-geography, like zip+4, can in some cases end up being so specific as to point to a specific address.

Additionally, just because data is aggregated and anonymized does not mean consumers aren’t being singled out for their purchasing habits. Using high-tech automated tools, anonymized and aggregated data can be used to reach specific consumers with tailored messages or help predict a given individual’s behavior.

Mastercard should commit to a limited use data policy

Companies have taken data harvesting and sales too far. The collection and sale of people’s data is almost entirely unregulated, and virtually every major company has begun monetizing customer data in ways people are not expecting.

Mastercard should commit to a policy of limited data use by implementing the principles of data minimization and purpose specification. This would mean collecting only the data necessary for providing the services cardholders are expecting to get – access to a safe and reliable credit card – and using the data only for that purpose.

PIRG has launched a coalition with Accountable Tech, American Civil Liberties Union, Center for Digital Democracy, Electronic Freedom Foundation, the Electronic Privacy Information Center, Oakland Privacy and Privacy Rights Clearinghouse asking Mastercard to commit to a limited data use policy.

Mastercard has served as people’s credit card long before it was able to use and sell transaction data in all of the ways that modern technology enables. Growing its profit margin is not a compelling reason for Mastercard to contribute to the massive marketplaces for data.

Passing new consumer data laws and having strong enforcement will be key to curtailing today’s invisible economy for people’s data. This is an urgent task. In the meantime, companies should voluntarily implement limited use data policies, and bring their business models back in line with consumer expectations.

The A.I. Surveillance Tool DHS Uses to Detect ‘Sentiment and Emotion’

Joseph Cox Joseph Cox Aug 24, 2023

Internal DHS and corporate documents detail the agency’s relationship with Fivecast, a company that promises to scan for “risk terms and phrases” online.

Customs and Border Protection (CBP), part of the Department of Homeland Security, has bought millions of dollars worth of software from a company that uses artificial intelligence to detect “sentiment and emotion” in online posts, according to a cache of documents obtained by 404 Media.

CBP told 404 Media it is using technology to analyze open source information related to inbound and outbound travelers who the agency believes may threaten public safety, national security, or lawful trade and travel. In this case, the specific company called Fivecast also offers “AI-enabled” object recognition in images and video, and detection of “risk terms and phrases” across multiple languages, according to one of the documents.

Marketing materials promote the software’s ability to provide targeted data collection from big social platforms like Facebook and Reddit, but also specifically names smaller communities like 4chan, 8kun, and Gab. To demonstrate its functionality, Fivecast promotional materials explain how the software was able to track social media posts and related Persons-of-Interest starting with just “basic bio details” from a New York Times Magazine article about members of the far-right paramilitary Boogaloo movement. 404 Media also obtained leaked audio of a Fivecast employee explaining how the tool could be used against trafficking networks or propaganda operations.

The news signals CBP’s continued use of artificial intelligence in its monitoring of travelers and targets, which can include U.S. citizens. In May, I revealed CBP’s use of another AI tool to screen travelers which could link peoples’ social media posts to their Social Security number and location data. This latest news shows that CBP has deployed multiple AI-powered systems, and provides insight into what exactly these tools claim to be capable of while raising questions about their accuracy and utility.

“CBP should not be secretly buying and deploying tools that rely on junk science to scrutinize people's social media posts, claim to analyze their emotions, and identify purported 'risks,'” Patrick Toomey, deputy director of the ACLU's National Security Project, told 404 Media in an email.

404 Media obtained the documents through Freedom of Information Act requests with CBP and other U.S. law enforcement agencies.

One document obtained by 404 Media marked “commercial in confidence” is an overview of Fivecast’s “ONYX” product. In it Fivecast says its product can be used to target individuals or groups, single posts, or events. As well as collecting from social media platforms big and small, Fivecast users can also upload their own “bulk” data, the document says. Fivecast says its tool has been built “in consultation” with Five Eyes law enforcement and intelligence agencies, those being agencies from the U.S., United Kingdom, Canada, Australia, and New Zealand. Specifically on building “person-of-interest” networks, the tool “is optimized for this exact requirement.”

Related to the emotion and sentiment detection, charts contained in the Fivecast document include emotions such as “anger,” “disgust,” “fear,” “joy,” “sadness,” and “surprise” over time. One chart shows peaks of anger and disgust throughout an early 2020 timeframe of a target, for example.

The document also includes a case study of how ONYX could be used against a specific network. In the example, Fivecast examined the Boogaloo movement, but Fivecast stresses that “our intent here is not to focus on a specific issue but to demonstrate how quickly Fivecast ONYX can discover, collect and analyze Risks from a single online starting point.”

That process starts with the user inputting Boogaloo phrases such as “civil war 2.” The user then selects a discovered social media account and deployed what Fivecast calls its “‘Full’ collection capability,” which “collects all available content on a social media platform for a given account.” From there, the tool also maps out the target’s network of connections, according to the document.

Lawson Ferguson, a tradecraft advisor at Fivecast, previously showed an audience at a summit how the tool could be used against trafficking networks or propaganda operations. “These are just examples of the kind of data that one can gather with an OSINT tool like ours,” he said. Jack Poulson, from transparency organization Tech Inquiry, shared audio of the talk with 404 Media.

Ferguson said users “can train the system to recognize certain concepts and types of images.” In one example, Ferguson said a coworker spent “a huge amount of time” training Fivecast's system to recognize the concept of the drug oxycontin. This included analyzing “pictures of pills; pictures of pills in hands.”

Fivecast did not respond to a request for comment.

CBP’s contracts for Fivecast software have stretched into the millions of dollars, according to public procurement records and internal CBP documents obtained by 404 Media. CBP spent nearly $350,000 in August 2019; more than $650,000 in September 2020; $260,000 in August 2021; close to $950,000 in September 2021; and finally almost $1.17 million in September 2022.

CBP told 404 Media in a statement that “The Department of Homeland Security is committed to protecting individuals’ privacy, civil rights, and civil liberties. DHS uses various forms of technology to execute its mission, including tools to support investigations related to threats to infrastructure, illegal trafficking on the dark web, cross-border transnational crime, and terrorism. DHS leverages this technology in ways that are consistent with its authorities and the law.”

In the context of why CBP needs to buy Fivecast’s software, the internal CBP documents point to several specific parts of the agency. They are the Office of Field Operations (OFO), the main bulk of CBP which enforces border security; the National Targeting Center (NTC) based out of Virginia which aims to catch travelers and cargo that the agency believes threaten the country’s security; the Counter Network Division (CND) which is part of the NTC; and finally the Publicly Available Information Group (PAIG), which focuses on data such as location information according to other documents I’ve obtained previously.

Yahoo News reported in 2021 that the CND has gathered information on a range of journalists. The Office of the Inspector General made a criminal referral for an official who worked with CND for their role in the monitoring, but they were not charged. A supervisor of that division previously told investigators that at CND “We are pushing the limits and so there is no norm, there is no guidelines, we are the ones making the guidelines.”

“The public knows far too little about CBP's Counter Network Division, but what we do know paints a disturbing picture of an agency with few rules and access to an ocean of sensitive personal data about Americans,” Toomey from ACLU added. “The potential for abuse is immense.”

Révoltes et réseaux sociaux : le retour du coupable idéal

Posted on 28 juillet 2023

Les révoltes qu’ont connues de nombreuses villes de France en réaction à la mort de Nahel ont entraîné une réponse sécuritaire et autoritaire de l’État. Ces évènements ont également réactivé une vieille antienne : tout cela serait dû au numérique et aux réseaux sociaux. On aimerait railler cette rhétorique ridicule si seulement elle n’avait pas pour origine une manœuvre politique de diversion et pour conséquence l’extension toujours plus dangereuse de la censure et du contrôle de l’information.

« C’est la faute aux réseaux sociaux »

Aux premiers jours des révoltes, Emmanuel Macron a donné le ton en annonçant, à la sortie d’une réunion de crise, que « les plateformes et les réseaux sociaux jouent un rôle considérable dans les mouvements des derniers jours ». Aucune mention des maux sociaux et structurels dans les quartiers populaires depuis plusieurs décennies, rien sur l’écœurement d’une population vis-à-vis des violences policières. Non, pour le président, c’est Snapchat, TikTok et les autres réseaux sociaux qui participeraient à « l’organisation de rassemblements violents » et à une « forme de mimétisme de la violence » qui conduirait alors à « une forme de sortie du réel ». Selon lui, certains jeunes « vivent dans la rue les jeux vidéo qui les ont intoxiqués ». Il est vrai que nous n’avions pas vu venir cette sortie d’un autre temps sur les jeux vidéos, tant elle a déjà largement été analysée et démentie par de nombreuses études.

Mais si le jeu vidéo a vite été laissé de côté, les critiques ont toutefois continué de se cristalliser autour des réseaux sociaux, à droite comme à gauche. Benoît Payan, maire de Marseille, a ainsi expliqué que les réseaux sociaux « sont hors contrôle et ils permettent à des bandes organisées qui font n’importe quoi d’être extrêmement mobiles, de se donner des rendez-vous ». Éric Dupond-Moretti, ministre de la Justice, s’est quant à lui taillé un rôle paternaliste et moralisateur, dépolitisant les évènements et essentialisant une jeunesse qui aurait l’outrecuidance d’utiliser des moyens de communication. Selon lui, « les jeunes » utilisent les réseaux sociaux et se « réfugient derrière leurs téléphone portable », se pensant « comme ça en toute liberté dans la possibilité d’écrire ce qu’ils veulent ». Car pour Dupond-Moretti, le jeune doit « rester chez lui » et les parents doivent « tenir leurs gosses ». Et si le jeune veut quand même « balancer des trucs sur Snapchat », alors attention, « on va péter les comptes ».

En substance, il menace d’identifier les personnes qui auraient publié des vidéos de violences pour les retrouver, quand bien même ces contenus seraient totalement licites. À l’image d’un surveillant courant avec un bâton après des enfants, dépassé par la situation, le ministre de la Justice se raccroche à la seule branche qui lui est accessible pour affirmer son autorité. Les récits de comparution immédiate ont d’ailleurs démontré par la suite la violence de la réponse judiciaire, volontairement ferme et expéditive, confirmant la détermination à prouver son ascendant sur la situation.

Le clou du spectacle a été prononcé par Emmanuel Macron lui-même le 4 juillet, devant plus de 200 maires, lorsqu’il a évoqué l’idée de « réguler ou couper » les réseaux sociaux puisque « quand ça devient un instrument de rassemblement ou pour essayer de tuer, c’est un vrai sujet ». Même avis chez Fabien Roussel « quand c’est chaud dans le pays », car celui-ci préfère « l’état d’urgence sur les réseaux sociaux que sur les populations ». Pour rappel, couper Internet à sa population est plutôt apprécié par les régimes autoritaires. En 2023, l’ONG Access Now a recensé que ce type de mesure avait été utilisé en Inde, Birmanie, Iran, Pakistan, Éthiopie, Russie, Jordanie, Brésil, Chine, Cuba, Irak, Guinée et Mauritanie.

Quelques semaines plus tard, le président annonçait le projet : restaurer un « ordre public numérique », ranimant la vieille idée sarkoziste qu’Internet serait une « zone de non-droit ».

La censure au service de l’ordre

L’ensemble de ces réactions révèle plusieurs des objectifs du gouvernement. D’abord, il attaque les moyens de communication, c’est-à-dire les vecteurs, les diffuseurs, les tremplins d’une expression populaire. Ce réflexe autoritaire est fondé sur une erreur d’appréciation majeure de la situation. Comme avec Internet à sa création, l’État semble agacé que des moyens techniques en perpétuelle évolution et lui échappant permettent aux citoyens de s’exprimer et s’organiser.

Depuis sa création, La Quadrature l’observe et le documente : le réflexe du blocage, de la censure, de la surveillance traduit en creux une incapacité à comprendre les mécanismes technologiques de communication mais surtout révèle la volonté de limiter la liberté d’expression. En démocratie, seul un juge a l’autorité et la légitimité pour décider si un propos ou une image enfreint la loi. Seule l’autorité judiciaire peut décider de retirer un discours de la sphère publique par la censure.

Or, sur Internet, cette censure est déléguée à des entités privées dans un cadre extra-judiciaire, à rebours de cette protection historique. L’expression et l’information des utilisateur·rices se heurtent depuis des années aux choix de plateformes privées auto-désignées comme entités régulatrices du discours public. Ce mécanisme de contrôle des moyens d’expression tend en effet à faire disparaître les contenus militants, radicaux ou alternatifs et à invisibiliser l’expression de communautés minoritaires. Alors que ce modèle pose de sérieuses questions quant à la liberté d’expression dans l’espace démocratique, c’est pourtant bien sur celui-ci que le gouvernement compte pour faire tomber les vidéos de violences et de révoltes.

Ensuite, cette séquence démontre l’absence de volonté ou l’incompétence de l’État à se confronter aux problématiques complexes et anciennes des quartiers populaires et à apporter une réponse politique et sociale à un problème qui est uniquement… politique et social. L’analyse des évènements dans les banlieues est complexe, difficile et mérite qu’on se penche sur de multiples facteurs tels que le précédent de 2005, l’histoire coloniale française, le rapport des habitant·es avec la police ou encore le racisme et les enjeux de politique de la ville. Mais ici, le gouvernement convoque les réseaux sociaux pour contourner la situation. Comme à chaque crise, la technologie devient alors le *usual suspect* préféré des dirigeants : elle est facile à blâmer mais aussi à maîtriser. Elle apparaît ainsi comme une solution magique à tout type de problème.

Rappelons-nous par exemple de l’application TousAntiCovid, promue comme l’incarnation du progrès ultime et salvateur face à la crise sanitaire alors qu’il s’agissait uniquement d’un outil de surveillance inefficace. La suite a montré que seules des mesures sanitaires étaient de toute évidence à même de résorber une épidémie. Plus récemment, cette manœuvre a été utilisée pour les Jeux Olympiques, moment exceptionnel par ses aspects logistiques, économiques et sociaux mais où la réponse politique apportée a été de légaliser un degré supplémentaire de surveillance grâce à la technologie, la vidéosurveillance algorithmique.

Ici, le gouvernement se sert de ces deux phénomènes pour arriver à ses fins. Désigner les réseaux sociaux comme le coupable idéal lui permet non seulement de détourner l’opinion publique des problématiques de racisme, de pauvreté ou de politique des quartiers mais également de profiter de cette séquence « d’exception » pour asseoir sa volonté de contrôle d’Internet et des réseaux sociaux. Ainsi, les ministres de l’Intérieur et du Numérique ont convoqué le 30 juin les représentants de TikTok, Snapchat, Twitter et Meta pour leur mettre une « pression maximale », selon les mots du ministre du Numérique Jean-Noël Barrot, et renforcer ainsi la main mise et l’influence politique sur ces infrastructures de communication.

Une collaboration État-plateformes à son paroxysme

Comment le gouvernement peut-il alors faire pour réellement mettre les réseaux sociaux, des entreprises privées puissantes, sous sa coupe ? Juridiquement, il dispose de leviers pour demander lui-même le retrait de contenus aux plateformes. Certes cette censure administrative est en théorie aujourd’hui réservée à la pédopornographie et à l’apologie du terrorisme, mais cette dernière, notion vague et indéfinie juridiquement, a notamment permis d’exiger le blocage du site collaboratif et militant Indymedia ou de faire retirer une caricature de Macron grimé en Pinochet. Ces pouvoirs ont d’ailleurs été récemment augmentés par l’entrée en vigueur du règlement « TERREG », qui permet à la police d’exiger le retrait en une heure d’un contenu qualifié par elle de « terroriste ». Cependant, il ne semble pas que le gouvernement ait utilisé ces dispositions pour exiger le retrait des vidéos de révoltes. D’ailleurs, et peut-être plus grave, il n’en a probablement pas eu besoin.

Conscient des limites juridiques de son pouvoir, l’État peut en effet miser sur la coopération des plateformes. Comme nous l’avons évoqué, celles-ci ont le contrôle sur l’expression de leurs utilisateur·ices et sont en mesure de retirer des vidéos de révoltes et d’émeutes quand bien même ces dernières n’auraient absolument rien d’illégal, simplement en invoquant leurs larges pouvoirs issus des conditions générales d’utilisation.

D’un côté, les autorités peuvent compter sur le zèle de ces réseaux sociaux qui, après avoir longtemps été accusés de mauvais élèves et promoteurs de la haine en ligne, sont enclins à se racheter une image et apparaître comme de bons soldats républicains, n’hésitant pas à en faire plus que ce que demande la loi. Twitter par exemple, qui a pendant longtemps résisté et ignoré les demandes des autorités, a drastiquement changé sa discipline depuis l’arrivée d’Elon Musk. Selon le media Rest of World qui a analysé les données du réseau, Twitter ne refuse quasiment plus aucune injonction de blocage ou réquisition de données d’identification provenant des différents États dans le monde.

Concernant les récents évènements en France, le ministre Barrot a ainsi confirmé que les « demandes » du gouvernement avaient été « entendues ». Le Commandement de la Gendarmerie dans le cyberespace exposait fièrement que 512 demandes de retrait avaient été adressées aux modérateurs de réseaux sociaux, quand Olivier Veran annonçait quant à lui que « ce sont plusieurs milliers de contenus illicites qui ont été retirés, plusieurs centaines de comptes qui ont été supprimés, plusieurs dizaines de réquisitions auxquelles les plateformes ont répondu ».

Et en effet, Snapchat ne se cachait pas d’avoir fait plus que le nécessaire. Un porte-parole affirmait à l’AFP faire de la « détection proactive » notamment sur la carte interactive qui permet de retrouver des contenus en fonction des lieux et « et plus particulièrement le contenu lié aux émeutes » qui serait supprimé s’il « enfreint [leurs] directives ». La responsable des affaires publiques de l’entreprise assumait quant à elle devant l’Assemblée nationale avoir travaillé avec le ministère de l’Intérieur pour filtrer les contenus et ne laisser en ligne que ceux mettant en scène des personnes se plaignant des violences. Les représentants de Tiktok ont pour leur part [annoncé](https://www.latribune.fr/technos-medias/internet/les-reseaux-sociaux-retirent-des-milliers-de-contenus-illicites-lies-aux-emeutes-968771.html#:~:text=Mis en cause par de,des données personnels de policiers) : « Nous menons une modération automatique des contenus illicites, renforcée par des modérateurs humains. En raison de la nécessité urgente en France, nous avons renforcé nos efforts de modération ».

De l’autre côté, si les réseaux sociaux refusent de se plier à ce jeu diplomatique, alors le gouvernement peut menacer de durcir leurs obligations légales. Aujourd’hui, les réseaux sociaux et hébergeurs bénéficient d’un principe européen d’irresponsabilité, créé dans les années 2000 et reposant en France sur l’article 6 de la loi pour la confiance dans l’économie numérique (LCEN). Ils ne sont responsables de contenus que s’ils ont connaissance de leur caractère illicite et ne les ont pas retiré « promptement ». Mais alors que les soirées d’émeutes étaient toujours en cours dans les villes de France, le sénateur Patrick Chaize profitait de l’examen du projet de loi Espace Numérique pour proposer un amendement qui voulait modifier ce régime général et imposer aux plateformes le retrait en deux heures des contenus « incitant manifestement à la violence ».

Si cet amendement a finalement été retiré, ce n’était pas en raison de désaccords de fond. En effet, Jean-Noël Barrot a, dans la foulé de ce retrait, annoncé le lancement d’un « groupe de travail » interparlementaire pour réfléchir à une « évolution législative » de l’encadrement des réseaux sociaux. Sont envisagées pour l’instant des restrictions temporaires de fonctionnalités telles que la géolocalisation, des mesures de modération renforcées ou encore la levée de l’anonymat, éternelle marotte des parlementaires. Demande constante de la droite française depuis de nombreuses années, cette volonté de lier identité virtuelle et identité civile est cette fois-ci défendue par le député Renaissance Paul Midy. De quoi agiter le chiffon rouge de futures sanctions auprès de plateformes qui rechigneraient à en faire suffisamment.

L’impasse de la censure

Déjà voté au Sénat, le projet de loi « Espace Numérique » devrait être discuté à la rentrée à l’Assemblée. Outre plusieurs dispositions problématiques sur lesquelles nous reviendrons très prochainement, ce texte a comme objet initial de faire entrer dans le droit français le Digital Services Act (ou DSA). Ce règlement européen adopté en 2022 est censé renouveler le cadre juridique des acteurs de l’expression en ligne.

Contrairement à ce qu’affirmait avec aplomb Thierry Breton, commissaire européen en charge notamment du numérique, ce texte ne permettra en aucun cas d’« effacer dans l’instant » les vidéos de révoltes ni d’interdire d’exploitation les plateformes qui n’exécuteraient pas ces injonctions. Non, ce texte donne principalement des obligations ex ante aux très grosses plateformes, c’est-à-dire leur imposent des efforts sur leur fonctionnement général (transparence des algorithmes, coopération dans la modération avec des tiers certifiés, audits…) pour prévenir les risques systémiques liés à leur taille et leur influence sur la démocratie. M. Breton est ainsi prêt à tout pour faire le SAV du règlement qu’il a fait adopter l’année dernière, quitte à dire des choses fausses, faisant ainsi réagir plus de soixante associations sur ces propos, puis à rétropédaler en catastrophe en voyant le tollé que cette sortie a déclenché.

Cependant, si ce texte ne permet pas la censure immédiate rêvée par le commissaire européen français, il poursuit bien la dynamique existante de confier les clés de la liberté d’expression aux plateformes privées, quitte à les encadrer mollement. Le DSA légitime les logiques de censure extra-judiciaire, renforçant ainsi l’hégémonie des grandes plateformes qui ont développé des outils de reconnaissance et de censure automatisés de contenus.

Des contenus terroristes aux vidéos protégées par le droit d’auteur en passant par les opinions radicales, c’est tout un arsenal juridique européen qui existe aujourd’hui pour fonder la censure sur internet. En pratique, elle permet surtout de donner aux États qui façonnent ces législations des outils de contrôle de l’expression en ligne. On le voit en ce moment avec les vidéos d’émeutes, ces règles sont mobilisées pour contenir et maîtriser les contestations politiques ou problématiques. Le contrôle des moyens d’expression finit toujours aux mains de projets sécuritaires et anti-démocratiques. Face à ce triste constat, de la même manière que l’on se protège en manifestation ou dans nos échanges militants, il est nécessaire de repenser les pratiques numériques, afin de se protéger soi-même et les autres face au risque de détournement de nos publications à des fins répressives (suppression d’images, de vidéos ou de messages, flouter les visages…).

Enfin, cette obsession de la censure empêche surtout de se confronter aux véritables enjeux de liberté d’expression, qui se logent dans les modèles économiques et techniques de ces plateformes. À travers leurs algorithmes pensés pour des logiques financières, ces mécanismes favorisent la diffusion de publications violentes, discriminatoires ou complotistes, créant un tremplin rêvé pour l’extrême droite. Avec la régulation des plateformes à l’européenne qui ne passe pas par le questionnement de leur place prépondérante, celles-ci voient leur rôle et leur influence renforcé·es dans la société. Le modèle économique des réseaux sociaux commerciaux, qui repose sur la violation de la vie privée et la monétisation de contenus problématiques, n’est en effet jamais empêché, tout juste encadré.

Nous espérons que les débats autour du projet de loi Espace Numérique seront enfin l’occasion de discuter de modèles alternatifs et de penser la décentralisation comme véritable solution de la régulation de l’expression en ligne. Cet idéal n’est pas utopique mais existe bel et bien et grandit de jour en jour dans un écosystème fondé sur l’interopérabilité d’acteurs décentralisés, refusant les logiques de concentration des pouvoirs de censure et souhaitant remettre les utilisateurs au cœur des moyens de communications qu’ils utilisent.

En France ou ailleurs, couper l’accès aux réseaux sociaux pour couper court aux émeutes ?

Publié: 26 juillet 2023, 20:17 CEST

La mort de Nahel, tué par un policier à Nanterre lors d’un contrôle routier le 27 juin 2023, a déclenché en France une série de manifestations violentes qui se sont rapidement étendues à tout le pays et ont même franchi les frontières nationales.

Les réseaux sociaux ont joué un rôle déterminant dans cette affaire. Il n’est donc pas surprenant que ces plates-formes soient devenues l’une des cibles des autorités françaises, Emmanuel Macron ayant évoqué la possibilité de couper l’accès aux réseaux sociaux durant des périodes de violences urbaines.

Les réactions à ces propos ont vite provoqué un rétropédalage du gouvernement, par l’intermédiaire de son porte-parole Olivier Véran, qui a déclaré que les restrictions pourraient se limiter à des suspensions de certaines fonctionnalités comme la géolocalisation.

Un débat qui agite aussi les instances internationales, comme l'ONU, qui s'interrogent sur le rôle des réseaux sociaux et sur la modération de contenus.

Le rôle des réseaux sociaux

Que les réseaux sociaux constituent, comme le soulignait déjà le Rapporteur spécial sur la liberté d’opinion et expression de l’ONU en 2011, « un instrument de communication essentiel au moyen duquel les individus peuvent exercer leur droit à la liberté d’expression, ou […] de recevoir et de répandre des informations » est un fait indéniable. C’est d’ailleurs une vidéo largement diffusée en ligne qui a permis de remettre en cause la version des faits sur la mort de Nahel initialement avancée par les policiers impliqués.

Mais les réseaux sociaux ont ensuite beaucoup servi à partager des vidéos, y compris d’épisodes violents, ainsi qu’à organiser et à géolocaliser les mobilisations et les endroits visés par les dégradations ou affrontements. D’où la réaction du gouvernement français, qui a tenu une réunion avec les représentants de Meta, Snapchat, Twitter et TikTok afin de les appeler à la responsabilité concernant la diffusion de tels contenus.

[Plus de 85 000 lecteurs font confiance aux newsletters de The Conversation pour mieux comprendre les grands enjeux du monde. Abonnez-vous aujourd’hui]

Les plates-formes étant devenues les « nouveaux gouverneurs » de la liberté d’expression, leurs politiques de modération ainsi que l’application de celles-ci se retrouvent scrutées de près. Or les règles en vigueur sont vagues et ne permettent pas une identification claire des contenus interdits ; en outre, l’usage de l’IA peut favoriser la discrimination, alimenter des inégalités sociales et conduire soit à une suppression excessive de contenus soit, à l’inverse, à la non-suppression de contenus qui vont à l’encontre du droit international des droits humains.

Parmi les exemples récents de l’incidence d’une modération de contenus opaque, citons le rôle de Facebook au Myanmar dans la propagation de discours haineux contre les Rohingya, mais aussi aux États-Unis lors de l’assaut du Capitole par les supporters de Donald Trump le 6 janvier 2021, suite à l’élection de Joe Biden.

Les réseaux sociaux ont, en vertu des Principes directeurs relatifs aux entreprises et droits de l’homme de l’ONU, la responsabilité de veiller au respect des droits humains dans le cadre de leurs activités. L’appel à la responsabilité de la part du gouvernement français en matière de modération des contenus n’est donc pas, en soi, problématique.

Le rôle des États

Les États ont la possibilité, dans certaines circonstances, de mettre en place des mesures susceptibles de restreindre l’exercice des droits fondamentaux tels que la liberté d’expression, par exemple en imposant des règles strictes aux réseaux sociaux ; mais ces restrictions doivent être conformes à leurs obligations internationales.

La France ayant ratifié le Pacte international sur les droits civils et politiques, toute restriction aux droits y énumérés doit correspondre aux dispositions établies dans ce traité.

Le Pacte précise que pour qu’une restriction à la liberté d’expression soit légitime, elle doit satisfaire trois conditions cumulatives : la restriction doit être « fixée par la loi » ; elle doit protéger exclusivement les intérêts énumérés à l’article 19 du Pacte (les droits ou la réputation d’autrui, la sécurité nationale ou l’ordre public, la santé ou la moralité publiques) ; et elle doit être nécessaire pour protéger effectivement l’intérêt légitime identifié, et proportionnée à l’objectif visé, ce qui signifie qu’elle doit compromettre le moins possible l’exercice du droit. Les mêmes conditions s’appliquent aussi aux restrictions aux droits à la liberté de réunion pacifique et libre association.

Or la proposition d’Emmanuel Macron peut précisément s’inscrire dans le cadre d’une restriction de la liberté d’expression, de la libre association et du droit à la réunion pacifique. Bien que cette idée soit présentée comme visant à protéger l’intérêt légitime du maintien de l’ordre public ou même de la sécurité nationale, de telles mesures ont été à plusieurs reprises jugées par les organisations internationales comme étant non conformes avec le droit international.

Le Rapporteur spécial sur la liberté d’opinion et d’expression de l’ONU a largement traité ce sujet. En 2017, il a souligné que les coupures d’Internet – qui peuvent être complètes ou partielles, c’est-à-dire n’affectant que l’accès à certains services de communication comme les réseaux sociaux ou les services de messagerie – « peuvent être expressément destinées à empêcher ou à perturber la consultation ou la diffusion de l’information en ligne, en violation […] des droits de l’homme » et que, « dans bien des cas, elles sont contre-productives ».

Le Rapporteur spécial sur la liberté de réunion pacifique et à la liberté d’association a pour sa part précisé en 2019 que « les coupures de réseau constituent une violation flagrante du droit international et ne peuvent en aucun cas être justifiées » et que « bien que ces mesures soient généralement justifiées par des raisons d’ordre public et de sécurité nationale, ce sont des moyens disproportionnés, et la plupart du temps inefficaces, d’atteindre ces objectifs légitimes ».

En 2021, une résolution du Conseil des droits de l’homme de l’ONU, dont le projet a notamment été porté par la France, condamne « fermement le recours aux coupures de l’accès à Internet pour empêcher ou perturber délibérément et arbitrairement l’accès à l’information en ligne ou sa diffusion ». La résolution demandait aussi au Haut-Commissariat des Nations unies aux droits de l’homme (OHCHR) de présenter une étude sur la tendance, observée dans plusieurs pays du monde, consistant à couper l’accès à Internet.

Le rapport de l’OHCHR, présenté au Conseil l’année suivante, souligne que « la grande majorité des coupures sont justifiées officiellement par le souci de préserver la sûreté publique et la sécurité nationale ou par la nécessité de restreindre la circulation d’informations jugées illégales ou susceptibles de causer des préjudices ». Cela a pu être constaté, entre autres exemples, au Burkina Faso lors des manifestations de l’opposition en novembre 2021, qui ont mené à une coupure d’Internet d’abord, puis à une restriction d’accès à Facebook, au nom de la sécurité nationale, ou au Sri Lanka en avril 2022, quand le gouvernement à coupé l’accès à toutes les plates-formes suite à des protestations contre la mise en place d’un état d’urgence.

Si ces restrictions ont généralement lieu dans des pays non démocratiques, les justifications avancées par leurs gouvernements correspondent à celles avancées par le gouvernement français à présent.

Le rapport note aussi qu’un nombre important de coupures d’Internet ont été suivies par des pics de violences, « ce qui semble démontrer que ces interventions ne permettent bien souvent pas d’atteindre les objectifs officiellement invoqués de sûreté et de sécurité » mais aussi qu’« on ne saurait invoquer la sécurité nationale pour justifier une action lorsque ce sont précisément des atteintes aux droits de l’homme qui sont à l’origine de la détérioration de la sécurité nationale ».

Par ailleurs, les manifestations trouvant leur origine dans les violences policières et le profilage racial, des mesures visant à restreindre l’accès aux réseaux sociaux en les accusant d’être responsables des violences constituent « une manière de dépolitiser et délégitimer la révolte [et] de dénier aux émeutiers le droit de se révolter contre les violences policières », comme le souligne le chercheur en sciences de l’information Romain Badouard.

Une question d’équilibre ?

Les États et les réseaux sociaux ont, les uns comme les autres, un devoir de protection et de respect des droits humains, mais comme nous l’avons vu, ils peuvent également porter atteinte à ces droits. Le cas présent montre que les deux centres de pouvoir, les États et les réseaux sociaux, peuvent, et idéalement devraient, se contrebalancer, afin d’assurer une meilleure protection des droits des individus.

C’est dans ce cadre qu’une approche de la modération des contenus en ligne fondée sur les droits humains se révèle nécessaire. Le Rapporteur spécial sur la liberté d’opinion et expression de l’ONU avait déjà remarqué en 2018 que « certains États […] recourent à la censure et à l’incrimination pour façonner le cadre réglementaire en ligne », mettant en place « des lois restrictives formulées en termes généraux sur l’"extrémisme", le blasphème, la diffamation, les discours “offensants”, les fausses informations et la “propagande” [qui] servent souvent de prétexte pour exiger des entreprises qu’elles suppriment des discours légitimes ». D’autre part, si les réseaux sociaux se présentent comme promoteurs de droits tels que la liberté d’expression, le Rapporteur spécial avait également relevé que la plupart d’entre eux ne se fondent pas sur les principes des droits humains dans leurs activités et politiques de modération de contenus.

Le cadre du droit international des droits humains offre non seulement aux individus la possibilité de contester les mesures prises par leurs gouvernements, mais il offre également aux réseaux sociaux un langage permettant de contester les demandes illicites émanant des États et d’« articuler leurs positions dans le monde entier de manière à respecter les normes démocratiques ». Reste aux États comme aux plates-formes à se saisir pleinement de ces instruments.

L’Assemblée adopte l’activation à distance des appareils électroniques

Posted on25 juillet 2023

La semaine dernière, l’Assemblée nationale a adopté le projet de loi d’orientation et de programmation du ministère de la justice pour les années 2023-2027. Parmi de multiples dispositions, ce texte prévoit l’introduction dans le droit français la possibilité pour la police d’activer des appareils et objets électroniques à distance, que ce soit les fonctionnalités de géolocalisation, des micros ou des caméras.

Nous vous en parlions il y a quelques semaines, après avoir fait un tour au Sénat, le voila désormais voté par l’Assemblée. Ce projet de surveillance, défendu par le gouvernement comme une simple « évolution technologique » des mesures d’enquête, modifie en réalité profondément la nature même d’objets du quotidien pour accéder à l’intimité des personnes. Il transforme des appareils supposées passifs et contrôlés par leurs propriétaires en des auxiliaires de justice pour s’immiscer dans tous les recoins de nos espaces privés. Alors que la police était jusqu’à présent tenue d’une démarche active et matériellement contraignante pour surveiller quelqu’un, ces dispositions du projet de loi sur la justice permettront de transformer un objet tel qu’un smartphone en dispositif de surveillance, en le compromettant.

Sans trop de surprise, les discussions à l’Assemblée n’ont apporté que peu de changement. Pour l’activation à distance des appareils électroniques à des fins de géolocalisation, permettant d’obtenir l’emplacement de leurs propriétaires, les députés de la majorité – réunis avec la droite et l’extrême droite – ont ramené le texte à sa version initiale. Ainsi, cette mesure pourra être mise en œuvre sur des personnes poursuivies pour des délits et crimes punis de 5 ans d’emprisonnement seulement, alors que les sénateurs avaient rehaussé ce seuil à 10 ans. Pour l’activation du micro et de la caméra des objets connectés permettant de filmer ou d’écouter tout ce qui se passe à leurs alentours, aucune modification substantielle n’est à noter. Prévue pour la criminalité et la délinquance organisées, l’application future de cette technique extrêmement intrusive nous fait craindre le pire. Actuellement déjà, un grand nombre d’actions peuvent tomber dans le champ de la délinquance et la « criminalité organisée », comme par exemple la « dégradation en bande organisée » pour laquelle sont poursuivies les militant·es écologistes arrêtées pour avoir participé à l’action contre l’usine Lafarge.

Mais surtout, il est très probable que cette technique de compromission des appareils s’étende ou se banalise d’ici à quelques années. La dernière décennie, qui a bouleversé en profondeur la réglementation pénale et antiterroriste, démontre par l’exemple quel pourrait être le chemin d’une telle généralisation. En effet, les techniques spéciales d’enquête, particulièrement intrusives, étaient historiquement réservées aux enquêtes et affaires les plus graves, données au seul juge d’instruction. Ce n’est que depuis la réforme pénale de 2016 que ces possibilités ont été élargies aux officiers de police judiciaire et aux procureurs dans le cadre d’enquête de flagrance et préliminaire. Avec cette loi, le procureur pouvait alors ordonner des écoutes téléphoniques, des sonorisations de lieux, des poses de balise GPS, de la vidéosurveillance, des captations de données informatiques ou des perquisitions de nuit.

Cette extension était fortement critiquée au regard des pouvoirs inédits donnés au parquet, hiérarchiquement dépendant de l’exécutif. Le journal « Le Monde » parlait à l’époque de « la loi antiterroriste la plus sévère d’Europe » et s’inquiétait, comme nous aujourd’hui, du « glissement régulier des méthodes du renseignement vers l’antiterrorisme, celles de l’antiterrorisme vers le crime organisé, celles du crime organisé vers la délinquance ordinaire » et de conclure « les procédures d’exception finissent par dissoudre le principe même d’un droit commun ».

Ces prédictions se sont révélées exactes puisque dès 2018, le gouvernement a voulu élargir ces possibilités fraîchement données au procureur à l’ensemble des crimes dans le cadre d’une enquête en flagrance ou d’une enquête préliminaire, et non plus à la seule délinquance et à la criminalité en bande organisée. On ne pourrait donner meilleur exemple de fuite en avant sécuritaire, révélant la volonté de s’arroger toujours plus de pouvoirs dont on pouvait pourtant se passer auparavant. Néanmoins, les gardes fous institutionnels ont plutôt fonctionné à ce moment là : le Conseil constitutionnel a censuré cet appétit grandissant de prérogatives de surveillance. Celui-ci a ainsi estimé que la mesure était excessive et que le juge des libertés et de la détention (JLD), désigné pour autoriser et contrôler ces techniques, ne constituait pas une garantie suffisante. Pour le Conseil, puisque le JLD n’a pas accès à l’ensemble des procès-verbaux de l’enquête ni au déroulé des investigations, cela l’empêche d’assurer un contrôle satisfaisant de la nécessité et la proportionnalité des mesures de surveillance. Pourtant, alors que ces limites sont connues, c’est ce même JLD qui a été choisi dans le PJL Justice 2023-2027 pour contrôler les nouvelles techniques d’activation à distance des objets connectés (hors information judiciaire).

Toutefois, rien ne permet de croire à un coup d’arrêt similaire contre ces nouvelles mesures. À l’heure où l’antiterrorisme est mobilisé pour réprimer des militant·es politiques, ce renforcement des pouvoirs policiers ne fait que souligner les dérives autoritaires du gouvernement. Cette volonté de faire tomber les barrières qui empêchent l’État d’accéder à l’intimité des citoyens rejoint aussi l’offensive actuelle contre le chiffrement des conversations, que nous avons documentée à travers l’instruction de l’affaire dite du « 8 décembre ».

Le projet de loi sera prochainement transmis à une commission mixte paritaire qui tranchera les derniers arbitrages. Les équilibres politiques actuels font qu’il n’y a quasiment aucune chance que les parlementaires reculent et fassent retirer ces mesures de surveillance. Pourtant, si ces dernières sont votées, elles offriront une possibilité de contrôle de masse à faible coût et feront basculer le rapport que peuvent avoir les citoyens à la technologie en transformant radicalement la nature des objets qui nous entourent.

This AI Watches Millions Of Cars Daily And Tells Cops If You’re Driving Like A Criminal

Artificial intelligence is helping American cops look for “suspicious” patterns of movement, digging through license plate databases with billions of records. A drug trafficking case in New York has uncloaked — and challenged — one of the biggest rollouts of the controversial technology to date.

By Thomas Brewster, Forbes Staff

In March of 2022, David Zayas was driving down the Hutchinson River Parkway in Scarsdale. His car, a gray Chevrolet, was entirely unremarkable, as was its speed. But to the Westchester County Police Department, the car was cause for concern and Zayas a possible criminal; its powerful new AI tool had identified the vehicle’s behavior as suspicious.

Searching through a database of 1.6 billion license plate records collected over the last two years from locations across New York State, the AI determined that Zayas’ car was on a journey typical of a drug trafficker. According to a Department of Justice prosecutor filing, it made nine trips from Massachusetts to different parts of New York between October 2020 and August 2021 following routes known to be used by narcotics pushers and for conspicuously short stays. So on March 10 last year, Westchester PD pulled him over and searched his car, finding 112 grams of crack cocaine, a semiautomatic pistol and $34,000 in cash inside, according to court documents. A year later, Zayas pleaded guilty to a drug trafficking charge.

“With no judicial oversight this type of system operates at the caprice of every officer with access to it.”

Ben Gold, lawyer

The previously unreported case is a window into the evolution of AI-powered policing, and a harbinger of the constitutional issues that will inevitably accompany it. Typically, Automatic License Plate Recognition (ALPR) technology is used to search for plates linked to specific crimes. But in this case it was used to examine the driving patterns of anyone passing one of Westchester County’s 480 cameras over a two-year period. Zayas’ lawyer Ben Gold contested the AI-gathered evidence against his client, decrying it as “dragnet surveillance.”

And he had the data to back it up. A FOIA he filed with the Westchester police revealed that the ALPR system was scanning over 16 million license plates a week, across 480 ALPR cameras. Of those systems, 434 were stationary, attached to poles and signs, while the remaining 46 were mobile, attached to police vehicles. The AI was not just looking at license plates either. It had also been taking notes on vehicles' make, model and color — useful when a plate number for a suspect vehicle isn’t visible or is unknown.

To Gold, the system’s analysis of every car caught by a camera amounted to an “unprecedented search.” “This is the specter of modern surveillance that the Fourth Amendment must guard against,” he wrote, in his motion to suppress the evidence. “This is the systematic development and deployment of a vast surveillance network that invades society’s reasonable expectation of privacy.

“With no judicial oversight this type of system operates at the caprice of every officer with access to it.”

Gold declined to comment further on the case. Westchester County Police Department did not respond to requests for comment.

Reckoning with Rekor

Westchester PD’s license plate surveillance system was built by Rekor, a $125 million market cap AI company trading on the NASDAQ. Local reporting and public government data reviewed by Forbes show Rekor has sold its ALPR tech to at least 23 police departments and local governments across America, from Lauderhill, Florida to San Diego, California. That’s not including more than 40 police departments across New York state who can avail themselves of Westchester County PD’s system, which runs out of its Real-Time Crime Center.

“You've seen the systems totally metastasize to the point that the capabilities of a local police department would really shock most people.”

Brett Max Kaufman, senior staff attorney at the ACLU

Rekor’s big sell is that its software doesn’t require new cameras; it can be installed in already deployed ones, whether owned by the government, a business or a consumer. It also runs the Rekor Public Safety Network, an opt-in project that has been aggregating vehicle location data from customers for the last three years, since it launched with information from 30 states that, at the time, were reading 150 million plates per month. That kind of centralized database with cross-state data sharing, has troubled civil rights activists, especially in light of recent revelations that Sacramento County Sheriff’s Office was sharing license plate reader data with states that have banned abortion.

“The scale of this kind of surveillance is just incredibly massive,” Brett Max Kaufman, senior staff attorney at the ACLU, told Forbes. Pointing to both Rekor and Flock, a rival that runs a similar pan-American surveillance network of license plate readers, he described warrantless monitoring of citizens en masse like this as “quite horrifying.”

Rekor declined an interview and did not respond to requests for comment. But Matt Hill, who sold his company OpenALPR to Rekor in 2019 and was its chief scientist before departing in September 2022, told Forbes the network was likely growing. “I’m fairly sure there would be more cameras in more states now… It would be fairly large,” he said, noting that non-government customers have also been providing video. Rekor’s private customers include parking lots, casinos and fast-food chain restaurants.

With so many agencies now collecting license plate records, and the dawn of more advanced, AI-powered surveillance, privacy advocates are raising the alarm about a technology expanding with little in the way of legal protections for the average American. “You've seen the systems totally metastasize to the point that the capabilities of a local police department would really shock most people,” added Kaufman. “This is just the beginning of the applications of this technology.”

‘Unavoidable surveillance’

The ALPR market is growing thanks to a glut of Rekor rivals, including Flock, Motorola, Genetec, Jenoptik and many others who have contracts across federal and state governments. They’re each trying to grab a slice of a market estimated to be worth at least $2.5 billion.

But it’s not easy. Reporting first quarter results for this year, Rekor saw $6.2 million in revenue with a $12.6 million net loss. It reported a similar loss in the same quarter last year. Its stock is currently trading at about $2.75 down from an April 2021 high of $23.45 per share

In pursuit of that elusive profit, the market is looking beyond law enforcement to retail and fast food. Corporate giants have toyed with the idea of tying license plates to customer identities. McDonalds and White Castle have already begun using ALPR to tailor drive-through experiences, detecting returning customers and using past orders to guide them through the ordering process or offer individualized promotion offers. The latter restaurant chain uses Rekor tech to do that via a partnership with Mastercard.

With the sheer breadth of expansion, it’s becoming increasingly difficult to avoid the watchful eyes of government and corporate surveillance — or even know where they are. As Gold found in trying to get data from the Westchester government, authorities are not legally obliged to provide information on the whereabouts of cameras.

“Given the vast nature of the ALPR network and the need to travel public highways to engage in modern life,” Gold wrote in his motion to suppress, “avoiding ALPR surveillance is both unfeasible, if impossible.”

« La France est l’un des pays les plus envoûtés par le mysticisme technosécuritaire »

Entretien avec Olivier Tesquet

Activation des objets connectés à distance, surveillance des journalistes, expérimentation de la reconnaissance faciale… Depuis quelques mois, les projets de lois liberticides se multiplient. Et même si tous n’aboutissent pas, le discours technosécuritaire est de plus en plus hégémonique. Entretien.

Début juin, le Sénat adoptait l’article 3 de la loi Justice, qui prévoit la possibilité d’activer à distance des objets connectés (téléphone, ordinateur…) pour récupérer des informations dans le cadre d’enquêtes1. Dans la foulée, il tentait de repêcher des dispositions sécuritaires écartées de la loi JO 20242 en validant, le 12 juin, l’expérimentation sur trois ans de la reconnaissance faciale en temps réel dans l’espace public. Au niveau européen, le Media Freedom Act, officiellement en faveur de la liberté de la presse, permettra de piéger les téléphones des journalistes au moyen de logiciels espions afin de les surveiller3. On fait le point avec Olivier Tesquet, journaliste à Télérama spécialisé dans les technologies numériques et la surveillance, auteur de plusieurs ouvrages sur le sujet4.

On pensait avoir échappé à la reconnaissance faciale, écartée de la loi JO 2024. Elle revient par une autre porte ?

« Dans le cadre de la loi JO 2024, la ligne rouge concernant la reconnaissance faciale s’était révélée plus difficile à franchir que prévu pour le gouvernement. En adoptant cette proposition de loi visant à créer un cadre d’expérimentation pour la reconnaissance faciale, le Sénat prépare le terrain en fabriquant de l’acceptabilité. Et même si cette proposition de loi a peu de chance d’être votée par l’Assemblée, c’est un calcul stratégique : on banalise les discours, les arguments et les technologies en question, on fabrique du consentement et l’on prépare les esprits au déploiement de ces technologies comme s’il était inéluctable.

« Quand les technologies sont sorties de la boîte, c’est extrêmement difficile de les y remettre »

C’était la même histoire avec l’usage des drones dans le cadre du maintien de l’ordre. L’ancien préfet de police Didier Lallement les utilisait sur le terrain, le Conseil d’État a d’abord dit “non”, suivi par le Conseil constitutionnel qui a censuré ces dispositions dans la loi Sécurité globale. Mais ils ont finalement réussi à en légaliser l’usage par le biais d’un autre véhicule législatif, la loi sur la responsabilité pénale. Il y a un “effet cliquet” : quand les technologies sont sorties de la boîte, c’est extrêmement difficile de les y remettre. »

Les arguments semblent toujours les mêmes : la lutte antiterroriste, et la nécessité d’encadrer des technologies « déjà-là ».

« Ce sont deux éléments assez stables de l’obsession technosécuritaire : la légalisation a posteriori, où on légifère à l’envers afin d’autoriser des technologies déjà en usage ; et la lutte contre le terrorisme. Ce sont deux arguments-massues auxquels il est très difficile de s’opposer, et qui sont utilisés quasi systématiquement lorsqu’il s’agit du déploiement de technologies sécuritaires, alors même que rien ne prouve qu’elles soient efficaces par rapport à leurs objectifs.

« On prépare les esprits au déploiement de ces technologies comme s’il était inéluctable »

Ce qui est encore plus curieux, c’est que moins une technologie fonctionne, plus on va tenter de la perfectionner et plus on va la déployer dans des versions encore plus intrusives : on impose la vidéosurveillance partout et, face aux doutes et critiques, on passe à la vidéosurveillance algorithmique puis à la reconnaissance faciale, sans savoir si elles sont efficaces. On est sortis du domaine de la rationalité scientifique pour rentrer dans celui de l’irrationalité quasi religieuse. »

À qui profite cette croyance dans le pouvoir magique de la technologie ?

« Elle profite évidemment aux industriels qui fabriquent ces technologies, qui en tirent d’importants bénéfices5. Ensuite, pour les politiques, le discours sécuritaire est devenu un rituel d’accession au pouvoir, un élément stable de leurs programmes, car c’est un discours rémunérateur. L’actuel maire de Nice, Christian Estrosi, en est un exemple chimiquement pur : il a fait campagne sur la sécurité, a fait de Nice une ville pionnière dans la vidéosurveillance, et entretient ce discours comme une forme de rente lui garantissant une longévité politique. C’est le genre de programme qui permet de prétendre agir, avec des installations visibles et valorisables, et qu’importe si la technologie n’a pas fait la preuve de son efficacité, voire a fait la démonstration de son inefficacité. »

Dans l’émission *C Ce soir* à laquelle tu as participé, la spécialiste des enjeux géopolitiques des technologies Asma Mallah expliquait qu’on est passé d’un droit à la sûreté à un droit à la sécurité6. Quelle est la différence ?

« La Déclaration des droits de l’homme et du citoyen de 1789 affirme le droit à la sûreté, c’est-à-dire le droit d’être protégé contre l’arbitraire de l’État. Depuis une quarantaine d’années, celui-ci a été travesti par les gouvernements successifs, droite et gauche confondues, en “droit à la sécurité”, qui est la possibilité pour l’État de violer de manière arbitraire les libertés des citoyens. »

Dans les considérants de la dissolution des Soulèvements de la Terre, on retrouve notamment pour argument le fait de laisser son téléphone mobile chez soi ou de le mettre en « mode avion » afin d’éviter le bornage. Est-il devenu interdit de se protéger ?

« C’est un exemple supplémentaire de la manière dont l’État utilise la notion floue de terrorisme à des fins politiques ; ici, la répression contre les mouvements écologistes qui, même si elle n’est pas nouvelle (rappelons-nous la débauche de moyens technologiques pour pas grand-chose à Bure), s’aggrave. On va vers une criminalisation de la furtivité : l’utilisation de certains outils, comme Tails ou une messagerie chiffrée, est considérée comme suspecte. C’est comme quand, en manifestation, apporter du sérum physiologique ou se protéger physiquement deviennent des éléments incriminants. D’un côté, le pouvoir se raidit, devient de plus en plus violent, se dote d’outils de plus en plus intrusifs ; de l’autre, on dénie aux citoyens la possibilité de se protéger contre l’arbitraire de ce pouvoir. »

Au niveau européen, le contrôle technologique des frontières semble faire exception à toute réglementation…

« Historiquement, les stratégies de surveillance de la police, même avant l’irruption de la technologie, ont toujours ciblé les catégories de population considérées comme “dangereuses” : les pauvres, les nomades, les ouvriers, les vagabonds… et aujourd’hui, les personnes exilées. Et l’Union européenne se comporte comme un laboratoire de recherche et de développement technosécuritaire, qui installe et teste littéralement in vivo ces dispositifs7 sur des personnes auxquelles on dénie déjà un certain nombre de droits fondamentaux. L’AI Act (règlement sur l’intelligence artificielle) en est un bon exemple. Adopté par le Parlement européen mi-juin afin de réglementer les systèmes de surveillance algorithmique, notamment en les classant en fonction des “risques” qu’ils posent, il renonce à agir sur les technologies sécuritaires déjà utilisées aux frontières.8 »

Mis bout à bout, tout cela dessine un contexte inquiétant. C’est comme si rien ne pouvait contrer la logique technosécuritaire à l’œuvre.

« En 2008, des personnalités de tous bords politiques s’étaient indignées du projet Edvige, qui visait à ficher les opinions politiques, syndicales et religieuses des Français à partir de l’âge de 13 ans. Aujourd’hui, même si certains tirent la sonnette d’alarme9, plus grand monde ne prend position. La digue est en train de céder, et la France fait partie des pays les plus envoûtés par cette espèce de mysticisme technosécuritaire, comme le chef de file de cette course en avant. C’est pour cela qu’il faut poser collectivement des diagnostics et imposer un débat politique – et non technique – sur ce sujet. Il faut s’organiser, faire du bruit et, comme disait Günther Anders, inquiéter son voisin comme soi-même. »

1 Le projet de loi d'orientation et de programmation de la justice (LOPJ), actuellement en discussion à l'Assemblée, prévoit notamment l'activation à distance des caméras, des micros et de la géolocalisation d'objets connectés, pour toute personne impliquée dans un crime ou délit puni d'au moins 10 ans de prison.

2 Voir « Olympiades du cyberflicage », CQFD n° 218 (mars 2023).

3 . Voir l'article d'Olivier Tesquet « L'espionnage des journalistes bientôt autorisé par une loi européenne ? », Télérama (21/06/2023).

4 Notamment À la trace (2020) et État d'urgence technologique (2021), aux éditions Premier Parallèle.

5 Voir l'article « Vidéosurveillance biométrique : derrière l'adoption du texte, la victoire d'un lobby », site La Quadrature du Net (05/04/2023).

6 . « I.A. : vers une société de surveillance ? », C Ce soir (France 5, 15/06/23).

7 Citons ItFlows (prédiction des flux migratoires) et iBorderCtrl (reconnaissance des émotions humaines lors des contrôles).

8 « “AI Act” : comment l'UE investit déjà dans des intelligences artificielles à “haut risque” pour contrôler ses frontières », Le Monde (22/06/2023).

9 Dans son rapport annuel publié mi-juin, la Commission nationale de contrôle des techniques de renseignement (CNCTR) s'inquiète des progrès de l'espionnage des milieux politiques et syndicaux. Voir l'article « Les services de renseignement s'intéressent de plus en plus aux militants », Politis (16/06/2023).

Veesion, la start-up illégale qui surveille les supermarchés

Posted on4 juillet 2023

Nous en parlions déjà il y a deux ans : au-delà de la surveillance de nos rues, la surveillance biométrique se déploie aussi dans nos supermarchés pour tenter de détecter les vols en rayons des magasins. À la tête de ce business, la start-up française Veesion dont tout le monde, même le gouvernement, s’accorde sur l’illégalité du logiciel mais qui continue à récolter des fonds et des clients en profitant de la détresse sociale

La surveillance biométrique de l’espace public ne cesse de s’accroître. Dernier exemple en date : la loi sur les Jeux Olympiques de 2024 qui vient légaliser officiellement la surveillance algorithmique dans l’espace public pour certains événements sportifs, récréatifs et culturels (on en parlait ici). En parallèle, des start-up cherchent à se faire de l’argent sur la surveillance d’autres espaces, notamment les supermarchés. L’idée est la suivante : utiliser des algorithmiques de surveillance biométrique sur les caméras déjà déployées pour détecter des vols dans les grandes surfaces et alerter directement les agents de sécurité.

L’une des entreprises les plus en vue sur le sujet, c’est Veesion, une start-up française dont on parlait déjà il y a deux ans (ici) et qui vient de faire l’objet d’un article de Streetpress. L’article vient rappeler ce que LQDN dénonce depuis plusieurs années : le logiciel déjà déployé dans des centaines de magasins est illégal, non seulement selon l’avis de la CNIL, mais aussi, selon nos informations, pour le gouvernement.

Le business illégal de la détresse sociale

Nous avions déjà souligné plusieurs aspects hautement problématiques de l’entreprise. En premier lieu, un billet publié par son créateur, soulignant que la crise économique créée par la pandémie allait provoquer une augmentation des vols, ce qui rendait nécessaire pour les magasins de s’équiper de son logiciel. Ce billet avait été retiré aussitôt notre premier article publié.

D’autres déclarations de Veesion continuent pourtant de soutenir cette idée. Ici, c’est pour rappeler que l’inflation des prix, en particulier sur les prix des aliments, alimenteraient le vol à l’étalage, ce qui rend encore une fois nécessaire l’achat de son logiciel de surveillance. Un business s’affichant donc sans gêne comme fondé sur la détresse sociale.

Au-delà du discours marketing sordide, le dispositif est clairement illégal. Il s’agit bien ici de données biométriques, c’est-à-dire de données personnelles relatives notamment à des caractéristiques « physiques ou « comportementales » (au sens de l’article 4, par. 14 du RGPD) traitées pour « identifier une personne physique de manière unique » (ici, repérer une personne en train de voler à cause de gestes « suspects » afin de l’appréhender individuellement, et pour cela analyser le comportement de l’ensemble des client·es d’un magasin).

Un tel traitement est par principe interdit par l’article 9 du RGPD, et légal seulement de manière exceptionnelle et sous conditions strictes. Aucune de ces conditions n’est applicable au dispositif de Veesion.

La Quadrature du Net n’est d’ailleurs pas la seule à souligner l’illégalité du système. La CNIL le redit clairement (à sa façon) dans l’article de Streetpress quand elle souligne que les caméras de Veesion « devraient être encadrées par un texte » . Or ce texte n’existe pas. Elle avait exprimé le même malaise au Monde il y a quelques mois, quand son directeur technique reconnaissait que cette technologie était dans un « flou juridique » .

Veesion est d’ailleurs tout à fait au courant de cette illégalité. Cela ressort explicitement de sa réponse à une consultation de la CNIL obtenu par LQDN où Veesion s’alarme de l’interprétation du RGPD par la CNIL qui pourrait menacer « 500 emplois en France » .

Plus surprenant, le gouvernement a lui aussi reconnu l’illégalité du dispositif. Selon nos informations, dans le cadre d’une réunion avec des professionnels du secteur, une personne représentant le ministère de l’Intérieur a explicitement reconnu que la vidéosurveillance algorithmique dans les supermarchés était interdite.

La Technopolice rapporte toujours autant d’argent

Tout cela ne semble pas gêner l’entreprise. Sur leur site , ils annoncent équiper plus de 2500 commerçants, dans 25 pays. Et selon les informations de Streetpress, les clients en France sont notamment Leclerc, Carrefour, G20, Système U, Biocoop, Kiabi ou encore la Fnac. Des enseignes régulièrement fréquentées donc par plusieurs milliers de personnes chaque jour.

Autre point : les financements affluent. En mars, la start-up a levé plus de 10 millions d’euros auprès de multiples fonds d’investissement. Sur le site Welcome to the Jungle, la start-up annonce plus de 100 salariés et plus de 5 millions de chiffre d’affaires.

La question que cela pose est la même que celle que nous rappelons sur ce type de sujets depuis 3 ans : que fait la CNIL ? Pourquoi n’a-t-elle pas fait la moindre communication explicite sur ce sujet ? Nous avions fait il y a deux ans une demande de documents administratifs à cette dernière, elle nous avait répondu qu’il s’agissait d’un dossier en cours d’analyse et qu’elle ne pouvait donc pas nous transmettre les documents demandés. Rien depuis.

Une telle inaction a des conséquences lourdes : outre la surveillance illégale imposée sur plusieurs milliers de personnes, la CNIL vient ici normaliser le non-respect du RGPD et faciliter la création d’une industrie de la Technopolice en laissant les investissements affluer.

Comment encore considérer la CNIL comme une autorité de « protection » de nos libertés quand la communication qui en émane sur ce sujet est qu’elle veut « fédérer et accompagner les acteurs innovants de l’écosystème IA en France et en Europe » ?

Surveillance illégale, détresse sociale, financement massif… Toutes les Technopolices se ressemblent, qu’elles soient en supermarché ou sur notre espace public. Mais pour une fois que tout le monde est d’accord sur l’illégalité d’une de ses représentantes, espérons que Veesion soit arrêtée au plus vite.

La vidéosurveillance intelligente fera ses premiers pas aux JO et sera expérimentée jusqu’en juin 2025

Un projet de loi, adopté en conseil des ministres, comporte un certain nombre de dérogations ou d’expérimentations en matière de sécurité, publicité, ou transport.

Par Philippe Le Coeur Publié le 22 décembre 2022 à 13h00, modifié le 07 avril 2023 à 14h31

Le projet de loi relatif aux Jeux olympiques-paralympiques propose de tester la mise en œuvre d’algorithmes d’intelligence artificielle en appui de caméras de vidéoprotection afin de détecter « des situations anormales ». FRED TANNEAU / AFP

Officiellement, c’est un texte ne recélant que des « points très techniques ». Avec un objectif : procéder à des aménagements législatifs jugés nécessaires au bon déroulement des Jeux olympiques et paralympiques en 2024 (du 26 juillet au 11 août, puis du 28 août au 8 septembre). Que cela concerne le cadre des compétitions, mis aussi – voire surtout – l’environnement de l’événement.

Le projet de loi relatif aux Jeux, qui a été adopté en conseil des ministres jeudi 22 décembre, et qui sera soumis au Sénat en janvier 2023, consiste à faire adopter, à travers dix-neuf articles, une succession de dérogations ou d’expérimentations.

Au-dela de leur technicité revendiquée, un certain nombre de ces dispositions – dont le vote par le Parlement est attendu au premier semestre 2023 – pourraient cependant avoir une portée loin d’être anodine. Il en va ainsi en matière de sécurité, l’un des enjeux majeurs de ces Jeux.

Si le recours à la reconnaissance faciale est explicitement exclu dans le texte du projet de loi, celui-ci propose d’instaurer un cadre juridique « expérimental et temporaire » pour « améliorer » les dispositifs de vidéosurveillance, en mettant en œuvre des algorithmes d’intelligence artificielle aptes à détecter « des situations anormales ». Cela concernera les lieux accueillant les compétitions mais aussi les moyens de transport.

Le temporaire s’étendra néanmoins bien au-delà des seuls Jeux, jusqu’au 30 juin 2025. Le gouvernement considère qu’il faudra quelques mois d’utilisation dans le cadre d’autres événements (sportifs, festifs, culturels) exposés à des risques d’actes terroristes ou d’atteintes graves à la sécurité des personnes pour pouvoir faire un bilan du fonctionnement de cet outil. « Gérer les mouvements de foule »

Avec ces « algorithmes intelligents, mais anonymisés, on peut gérer les mouvements de foule dans les transports », avait expliqué la ministre des sports et des Jeux olympiques et paralympiques, Amélie Oudéa-Castéra, le 12 octobre devant les sénateurs. Newsletter « Sport » Enquêtes, reportages, analyses : l’actualité du sport dans votre boîte e-mail chaque samedi S’inscrire

« Il s’agit de cibler non pas tel ou tel individu, mais des personnes répondant à tel signalement, ou encore des catégories de gestes, comme la dégradation de biens publics », avait détaillé, quelques jours plus tard au Sénat également, le ministre de l’intérieur, Gérald Darmanin.

Le texte du projet de loi précise en l’occurrence qu’il s’agit, avec ces traitements algorithmiques, de procéder « exclusivement à un signalement d’attention, strictement limité à l’indication du ou des événements qu’ils ont été programmés pour détecter ». L’utilisation de cet outil ne pourra déboucher sur « aucune décision individuelle ou acte de poursuite ».

Si Mme Oudéa-Castéra a assuré que ces dispositifs devront être examinés par la Commission nationale de l’informatique et des libertés et le Conseil d’Etat, ils apparaissent tout aussi « graves » que la reconnaissance faciale, en matière de libertés publiques, aux yeux de certains spécialistes de ce sujet.

« C’est une surveillance biométrique de tout le monde, tout le temps. Ces logiciels permettent de faire des analyses très poussées des personnes », a fait valoir, dans un entretien au Parisien le 26 novembre, Bastien Le Querrec, juriste et membre de La Quadrature du Net, disant redouter que les Jeux ne soient qu’un galop d’essai qui se prolonge.

Le projet de loi autorise aussi l’utilisation des scanners corporels dans les stades, comme c’est le cas dans les aéroports, et renforce l’arsenal des sanctions pénales avec des interdictions judiciaires de stade qui seront « désormais une mesure complémentaire obligatoire et non plus facultative pour un certain nombre d’infractions liées à des violences ou perturbations lors de rencontres sportives ». Lire aussi : Article réservé à nos abonnés Jeux olympiques 2024 : le « défi sécuritaire » de la cérémonie d’ouverture sur la Seine Ouverture des commerces le dimanche

Autre sujet « sensible » : le travail dominical dans les commerces. Le projet de loi vise à autoriser, entre le 1er juin et le 30 septembre 2024, les commerçants des communes accueillant des sites de compétition ainsi que des communes situées à proximité, d’ouvrir le dimanche durant la période des Jeux. Cela ne pourra se faire que sur la base du volontariat des salariés et en s’inscrivant dans le cadre du droit du travail pour ce qui concerne les rémunérations (deux fois le salaire).

Pour Paris, cette demande avait notamment été formulée par Florence Berthout, la maire (Horizons) du 5e arrondissement. « Il faut que tout le monde puisse en profiter, qu’il n’y ait pas une distorsion de concurrence entre ceux qui sont dans les bonnes zones [zones touristiques internationales] et les autres, entre grandes enseignes et tout petits commerces », a plaidé l’élue, mi-novembre, au Conseil de Paris.

Ne cachant pas que son objectif est que la période test des Jeux puisse déboucher sur quelque chose de durable, elle a reçu l’appui d’Olivia Grégoire, qui, « en tant que ministre du commerce, en tant qu’élue de Paris », s’est dite, le 11 décembre sur France 3, « favorable à ce que nos commerces puissent ouvrir tous les dimanches dans le cadre des Jeux olympiques ».

Quant à la possibilité d’aller au-delà des Jeux et de modifier la loi qui autorise les commerces à ouvrir douze dimanches dans l’année, la ministre a déclaré y être « favorable », tout en précisant que « ce n’est pas à l’ordre du jour ». Licences pour les taxis adaptés aux personnes handicapées

Le projet de loi propose aussi que certaines règles régissant la publicité soient mises entre parenthèses durant les trois mois du relais de la flamme olympique (à partir d’avril 2024). Il s’agira de permettre aux sponsors de cette opération (dont Coca-Cola) de disposer de panneaux publicitaires à proximité de monuments historiques, quinze jours en amont du passage de la flamme et sept jours après. Lire aussi : Article réservé à nos abonnés JO 2024 : le relais de la flamme mobilisera une soixantaine de départements, mais son coût suscite des tensions

En matière de transports, c’est à la création de nouvelles licences de taxis que le gouvernement veut procéder : celles-ci concerneront ceux qui se seront équipés spécifiquement pour transporter des personnes handicapées.

La mesure viendra compléter le plan d’aide visant à rendre mille taxis accessibles aux personnes en situation de mobilité réduite – il n’y en a que deux cents référencés actuellement –, l’accessibilité étant l’un des engagements forts des organisateurs des Jeux et des pouvoirs publics.

Activation des appareils à distance, les dangers de l’article 3 du projet de loi justice

Le projet de réforme de la justice d’Éric Dupond-Moretti sera examiné ce mardi par la Chambre haute. Pourtant, l’article 3 fait débat, nous explique Vincent Nioré, vice-bâtonnier du barreau de Paris.
Publié le Mardi 13 juin 2023 Eugénie Barbezat

Le projet de réforme de la justice d’Éric Dupond-Moretti sera examiné ce mardi par la Chambre haute. Pourtant, l’article 3 fait débat, nous explique Vincent Nioré, vice-bâtonnier du barreau de Paris.

Avec l’argument de «limiter les risques pris par les enquêteurs» et de «s’adapter aux évolutions de la délinquance», l’article 3 du projet de loi d’Éric Dupond-Moretti prévoit d’autoriser le déclenchement à distance des micros et caméras des téléphones, ordinateurs et autres appareils connectés, à l’insu des personnes visées.

Déjà utilisée par les services de renseignements, cette technique, dont le fonctionnement est couvert par le secret-défense, serait autorisée dans les affaires de terrorisme, de délinquance et de criminalité organisées. Une dérive dangereuse, alerte Me Vincent Nioré, vice-­bâtonnier du barreau de Paris et cosignataire d’un rapport du Conseil de l’ordre, qui voit dans cette disposition une atteinte grave au respect de la vie privée, au secret professionnel et aux droits de la défense.

Quel danger pointez-vous avec l’article 3 de la loi justice ?

La chancellerie souhaite introduire dans notre droit de nouvelles techniques au service des enquêteurs, en l’occurrence l’activation à distance des appareils électroniques, et plus précisément des smartphones. Or, aujourd’hui, investiguer dans un téléphone portable équivaut à une perquisition et doit obéir à des règles très particulières. Pour les crimes et délits de droit commun, punis d’au moins cinq ans d’emprisonnement, il est prévu un système d’activation à distance, en vue de la localisation en temps réel du téléphone, à l’insu du possesseur ou du propriétaire.

En l’état, rien n’est précisé sur les conditions dans lesquelles les magistrats instructeurs ou les procureurs pourraient demander l’utilisation de cet outil au juge des libertés et de la détention (JLD). En matière de géolocalisation, la chambre criminelle de la Cour de cassation exige déjà la condition de l’existence d’un risque imminent de dépérissement des preuves ou d’atteinte grave aux personnes ou aux biens. On sait seulement que, dans le nouveau texte, la prohibition de l’activation à distance n’est formulée expressément que pour les députés, les sénateurs, les avocats et les magistrats.

Mais cela n’est pas le cas pour les journalistes, détenteurs du secret des sources. Par ailleurs, ne sont pas explicitement exemptés de collecte de données les lieux d’exercice protégés habituellement par les articles 56-1, 56-2, 56-3 et 56-5 du Code de procédure pénale que sont les cabinets d’avocats et les locaux de presse et de communication audiovisuelle, les études de notaire, d’huissier, les cabinets de médecin, les locaux de magistrat et d’arbitre… C’est une carence dangereuse.

Quelles conséquences pourrait avoir ce défaut de protection ?

Cette carence induit qu’il peut y avoir une violation du secret du délibéré du magistrat, du secret médical, du secret professionnel de l’avocat et, bien sûr, du secret des sources. Et ce risque de violation du secret est encore accru quand l’affaire concerne la criminalité organisée : une disposition de la loi prévoit ce même système d’activation à distance des appareils électroniques afin de permettre la captation de données, de sons et d’images dans les affaires plus lourdes. Il suffirait d’activer à distance, par exemple, le téléphone du client d’un avocat dans le cabinet de ce dernier pour que toute la conversation soit écoutée,­ y compris les propos de l’avocat, voire de confrères à proximité. C’est attentatoire au libre exercice des droits de la défense et au secret professionnel.

Il est pourtant déjà possible de placer des suspects sur écoute ou même d’installer des micros chez eux…

Aujourd’hui, l’article 706-96 du Code de procédure pénale prévoit la possibilité, en matière de criminalité organisée, de sonoriser un lieu privé pour y recueillir des paroles confidentielles, dans le cadre d’affaires très lourdes comme la traite d’êtres humains, différents crimes en bande organisée, la délinquance financière, le terrorisme, etc.

Les services de police peuvent ainsi placer des micros et des caméras dans un appartement, dans le cadre de l’enquête, avec l’autorisation du JLD, pour une période strictement limitée. C’est dans ce contexte que vient s’intégrer l’activation à distance des appareils électroniques. Ce procédé est, à mon sens, une mesure intrusive terrible. Mais, comme il est rendu possible par la technique, le législateur veut s’en emparer. Soit. Mais il faudrait alors des garanties très fortes pour protéger les libertés publiques quant aux conditions exigées pour cette activation et quant à la protection des lieux protégés et des personnes investies d’un secret.

Qu’est-ce qui pourrait être mis en place ?

Ce que nous voulons, c’est une prohibition de principe de la collecte pour ces personnes et ces lieux. Le secret des sources, le secret professionnel de l’avocat, le secret médical et celui du délibéré sont des valeurs fondamentales du respect de la démocratie judiciaire. Il faut que la chancellerie revoie sa copie, que je trouve déviante et attentatoire notamment à la vie professionnelle de l’avocat, du journaliste et à la vie privée d’une manière générale.

On ne retrouve pas, dans le projet de loi du gouvernement, les conditions exigées par la chambre criminelle en matière de géolocalisation, à savoir la description circonstanciée des faits et des raisons précises justifiant cette mesure par le magistrat qui réclame cette mise en place. Aujourd’hui, pour ordonner une perquisition dans un lieu protégé, un magistrat doit démontrer l’existence d’indices antérieurs de la participation du suspect à la réalisation d’une infraction.

Dans la nouvelle loi, aucune condition n’est exigée, il suffirait que ces mesures soient simplement réputées «utiles à l’enquête» pour que l’activation des téléphones puisse être mise en œuvre. Avec des risques de nullité, si les données collectées au moyen de cette activation à distance l’ont été dans un des lieux protégés que j’évoquais plus haut. Au final, cet article 3 est bien une disposition aussi scélérate que délétère.

Quels types d’abus redoutez-vous si ce texte était adopté ?

En pratique, nous, avocats pénalistes, savons déjà que, dans le cadre d’écoutes « classiques », il arrive que la conversation d’un avocat avec son client soit captée, retranscrite et versée dans une procédure à charge. L’avocat doit alors déposer une requête en nullité devant la chambre d’instruction. J’ai bien peur que la nouvelle loi ne sanctuarise cette dérive. Nous nous battrons de toutes nos forces pour qu’il n’en soit jamais ainsi.

La Cnil saisie d’un recours collectif contre la « technopolice »

La Quadrature du Net a recueilli les mandats de 15 248 personnes pour déposer trois plaintes contre les principaux outils de surveillance policière déployés un peu partout en France. Elle demande notamment le démantèlement de la vidéosurveillance et l’interdiction de la reconnaissance faciale.
Jérôme Hourdeaux 25 septembre 2022 à 10h23

C’est un recours d’une ampleur inédite qui a été déposé samedi 24 septembre auprès de la Cnil (Commission nationale de l’informatique et des libertés) : plus de 15 248 personnes regroupées pour contester peu ou prou l’intégralité du dispositif techno-sécuritaire déployé par le gouvernement ces 20 dernières années.

Pendant presque six mois, l’association La Quadrature du Net a battu le rappel pour récolter les mandats de citoyens et citoyennes souhaitant s’opposer à ce qu’elle a baptisé la « technopolice », terme désignant la vidéosurveillance, les dispositifs algorithmiques de surveillance ou encore la reconnaissance faciale.

Au total, trois plaintes ont été préparées par La Quadrature du Net et déposées symboliquement samedi soir en clôture de son festival « Technopolice », qui se tenait à Marseille. La démarche est de fait particulièrement ambitieuse. Les plaintes s’attaquent en effet à plusieurs des piliers de la surveillance numérique ayant envahi nos villes ces dernières décennies.

La première a tout simplement pour ambition de faire « retirer l’ensemble de caméras déployées en France », et ainsi de mettre un terme à la vidéosurveillance. Pour cela, la réclamation devant la Cnil se fonde sur le règlement général sur la protection des données (RGPD), qui impose à tout traitement de données un certain nombre de bases légales. Toute collecte de données doit ainsi répondre à un intérêt légitime ou encore remplir une mission d’intérêt public.

Or, comme le rappelle la plainte, l’efficacité de la vidéosurveillance dans la lutte contre l’insécurité n’a jamais été démontrée. Elle a même été démentie par plusieurs études universitaires. La Cour des comptes elle-même, dans une étude de 2020 sur les polices municipales, n’avait trouvé « aucune corrélation globale […] entre l’existence de dispositifs de vidéoprotection et le niveau de la délinquance commise sur la voie publique, ou encore les taux d’élucidation ». En 2021, une autre étude, cette fois commandée par la gendarmerie, concluait que « l’exploitation des enregistrements de vidéoprotection constitue une ressource de preuves et d’indices peu rentable pour les enquêteurs ».

« Or, en droit, il est interdit d’utiliser des caméras de surveillance sans démontrer leur utilité, plaide La Quadrature sur le site de son projet Technopolice lancé il y a trois ans. En conséquence, l’ensemble des caméras autorisées par l’État en France semblent donc être illégales. »

« Dans notre argumentaire, nous nous appuyons sur une décision rendue il y a quatre ans par la cour administrative d’appel de Nantes qui concernait la commune de Ploërmel, explique à Mediapart Noémie Levain, juriste et membre de La Quadrature. Elle avait confirmé l’annulation d’une autorisation préfectorale d’installation de la vidéosurveillance dans la ville au motif, notamment, qu’aucun lien n’était établi entre celle-ci et la baisse de la délinquance. Elle n’était ni nécessaire ni légitime et donc illégale. Nous reprenons ce raisonnement pour l’étendre à toute la France. »

« Pour installer un système de vidéosurveillance, la ville doit demander une autorisation au préfet, qui doit normalement décider de la finalité, du lieu, de la durée…, détaille encore la juriste. Mais, dans les faits, cette autorisation préfectorale est juste formelle. Elle est toujours accordée. Ce qui, pour nous, rend ces actes illégaux. »

« Pour ramener ça au niveau national – la décision de la cour administrative d’appel de Nantes étant locale –, nous soulignons que le ministre de l’intérieur est co-responsable du traitement des données avec les communes, via les préfets qui dépendent de lui, explique encore Noémie Levain. De plus, il y a une très forte incitation de la part du gouvernement visant à pousser les communes à s’équiper via des aides financières. Celles-ci représentent généralement 60-70 % du financement, souvent versé par le Fonds interministériel de prévention de la délinquance (FIPD). »

Un éventuel démantèlement du réseau de caméras de vidéosurveillance, même partiel, aurait pour conséquence de rendre inopérant un autre des aspects de la « technopolice » : la vidéosurveillance algorithmique. Celle-ci consiste en l’utilisation de « caméras intelligentes » et de logiciels capables d’analyser les images pour repérer les comportements suspects. En l’absence de caméras, « qui en sont le support matériel », souligne La Quadrature, ces logiciels deviendraient logiquement caducs.

Le traitement d’antécédents judiciaires et la reconnaissance faciale

La deuxième plainte de l’association vise le traitement d’antécédents judiciaires (TAJ), un fichier dans lequel est inscrite toute personne impliquée dans une enquête judiciaire, qu’elle soit mise en cause, juste suspectée ou même victime. Le TAJ est accessible aux forces de police et de gendarmerie et aux services de renseignement, ainsi que dans le cadre des enquêtes administratives menées lors du recrutement à certains postes sensibles.

« Nous attaquons tout d’abord sa disproportion, explique Noémie Levain. Ce fichier comporte plus de 20 millions de fiches, avec aucun contrôle et énormément d’erreurs. Beaucoup de fiches n’ont aucun lien avec une infraction. Et il y a ces dernières années de plus en plus de témoignages de policiers prenant en photos des cartes d’identité de manifestants. »

À travers le TAJ, la plainte vise également la reconnaissance faciale. En effet, le décret du 7 mai 2012 lui ayant donné naissance, en fusionnant deux autres fichiers, précise que peut y être enregistrée la « photographie comportant des caractéristiques techniques permettant de recourir à un dispositif de reconnaissance faciale ».

Et depuis, sur cette seule base légale, les policiers multiplient les recours à la reconnaissance faciale. Selon un rapport sénatorial rendu au mois de mai 2022, 1 680 opérations de reconnaissance faciale seraient ainsi effectuées quotidiennement par les forces de police.

« Le TAJ, c’est une porte d’entrée pour la reconnaissance faciale qui a été ouverte par une simple petite phrase du décret de 2012, pointe Noémie Levain. Nous disons que cette petite phrase ne suffit absolument pas. Il faut un grand débat. D’autant plus qu’avec l’explosion de la quantité d’images issues de la vidéosurveillance, et celles des réseaux sociaux, nous avons changé d’échelle. Cette omniprésence des caméras dans notre société fait craindre une vidéosurveillance de masse. »

Le « fichier des gens honnêtes »

Enfin, la troisième plainte vise le fichier des titres électroniques sécurisés (TES). Créé en 2005, celui-ci incorporait initialement les données personnelles des titulaires de passeports, puis leurs données biométriques avec l’introduction du passeport électronique. En octobre 2016, un décret avait étendu son champ d’application aux cartes d’identité, malgré une vaste mobilisation de la société civile.

Comme le soulignait à l’époque ses opposants, au fur et à mesure des renouvellements de cartes d’identité, c’est l’ensemble de la population française dont les données biométriques seront à terme enregistrées dans le TES, créant ainsi un gigantesque « fichier des gens honnêtes ». Ces données sont de plus stockées de manière centralisée. Le dispositif avait même été critiqué par la Cnil et l’Agence nationale de la sécurité des systèmes d’information (Anssi).

L’extension du fichier TES aux cartes d’identité avait à l’époque été justifiée par la lutte contre l’usurpation d’identité et le trafic de faux papiers. Or, selon La Quadrature du net, « ce risque, qui était déjà extrêmement faible en 2016, a entièrement disparu depuis qu’une puce – qui contient le visage et les empreintes – est désormais présente sur les passeports et permet de remplir la même fonction de façon décentralisée ».

En résumé, La Quadrature estime qu’une lecture des données inscrites dans la puce est suffisante à l’authentification du titulaire et qu’un fichier centralisé est désormais inutile et n’a donc plus de base légale. De plus, souligne-t-elle, la présence des photos fait craindre une utilisation du fichier TES par les forces de l’ordre. « Créer un fichier avec les photos de tous les Français ne peut avoir d’autre but que la reconnaissance faciale », pointe Noémie Levain.

Si actuellement les forces de l’ordre n’y ont normalement pas accès, la tentation est en effet grande d’interconnecter le fichier TES avec d’autres fichiers de police. À l’occasion d’un rapport parlementaire sur les fichiers mis à la disposition des forces de sécurité rendu en octobre 2018, les auteurs signalaient qu’il leur avait été « suggéré » lors des auditions, « pour aller plus loin dans la fiabilisation de l’état civil des personnes mises en cause, de créer une application centrale biométrique qui serait interconnectée avec les données d’identité du fichier TES ».

Reste à savoir quel sort la Cnil réservera à ces plaintes. La commission dispose en effet de pouvoir limités vis-à-vis des fichiers des forces de l’ordre et des services de renseignement. Longtemps, elle a disposé d’un pouvoir d’appréciation a priori des projets gouvernementaux qui devaient lui être soumis, appréciation validée par elle à travers un « avis conforme ». Mais celui-ci lui a été retiré en 2004 et, désormais, le travail de la Cnil sur les traitements de données régaliens se limite à un rôle de conseil et d’accompagnement du gouvernement.

« Depuis 2004, la Cnil a perdu une grande partie de ses pouvoirs, constate Noémie Levain. Elle peut rendre des avis, des rapports parfois très critiques… Mais le gouvernement peut toujours passer outre. L’idée de cette plainte est qu’elle aille voir les pratiques. Un des problèmes est l’opacité des pratiques de la police. La Cnil dispose des pouvoirs d’investigation pour aller voir ce qu’il se passe. Après ses conclusions, il s’agira d’une question de volonté politique de sa part. On verra si elle instaurera un rapport de force. »

« La Quadrature tape souvent sur eux, mais nous pensons qu’il y a à la Cnil des gens qui font les choses biens, poursuit la juriste. Là, nous lui apportons les éléments pour aller voir ce qu’il se passe. Notre but est de faire du bruit, de peser sur le débat public. D’autant plus que les Jeux olympiques vont être l’occasion de l’expérimentation de tout un tas de technologies. On a déjà vu la Cnil rendre de bonnes décisions. Avec cette plainte, on lui donne la clef pour le faire. »

Article publié dans la revue Mediapart par Jérôme Hourdeaux