Veille des outils de répression

[Nico37]

Comment ficher les fauteurs de troubles

En marge du sommet du G8 de Deauville, militants et manifestants courent le risque d'être apparentés à des terroristes. Décodage de fichiers de police de plus en plus flous.

Cécile Lecomte, militante française installée en Allemagne, fait partie d’une troupe de militants escaladeurs, Robin Wood, qui bloquent des convois militaires ou des trains de déchets nucléaires. Surnommée l’Écureuil, elle ne compte plus les gardes à vues. Et nous assure qu’elle figure dans une dizaine de fichiers policiers – notamment ceux de l’agence Europol – dont certains destinés à la prévention du terrorisme.

Au moment où plusieurs mouvements entendent protester contre le G8 de Deauville, l’Union Européenne entretient toujours le trouble sur les caractéristiques exactes des fichiers permettant de suivre les « fauteurs de troubles » qui perturbent les grandes réunions internationales. Au risque de confondre des contestataires très remuants avec des auteurs de crimes ou d’actes terroristes.

Un tel risque existe bel et bien si l’on en croit les travaux des groupes de travail du Conseil de l’Union européenne, disséqués par l’Ong britannique Statewatch. Même s’il n’y a pour l’instant pas de consensus pour créer des fichiers spécifiques, ou pour ajouter ces menaces potentielles aux fichiers policiers déjà existants au sein de l’UE, la question est sensible car elle touche une nouvelle fois à l’équilibre entre lutte contre le crime (et le terrorisme par extension) et libertés fondamentales.

La définition même de « fauteur de troubles » (troublemakers) soulève des problèmes. C’est en 2001, à l’issue de deux sommets particulièrement symptomatiques — ceux de Göteborg en juin (Conseil européen) et de Gênes en juillet (G8), donc bien avant les attentats du 11 septembre — que l’UE décide de rédiger deux « manuels » destinés d’une part à la « sécurité contre le terrorisme » et d’autre part à « la gestion de l’ordre public ». En 2007, début du mélange des genres : ces deux manuels n’en font plus qu’un (« EU Security Manual » .pdf). Et au lendemain des manifestations en marge du sommet du G8 de Heiligendam (Allemagne, juin 2007), que l’idée de créer une « base de données » intra-UE s’impose pour la première fois.
Objectifs du gouvernement allemand, à l’origine de cette évolution :

Pouvoir partager de l’information sur des « fauteurs de troubles violents » et envisager la possibilité « d’utiliser SIS [Système d’information Schengen] pour cet échange d’information.

Actuellement, un Système d’information Schengen de deuxième génération (SIS II) est à l’étude. Le SIS est l’un des premiers fichiers centralisés créé au sein de l’Union — il est réservé aux seuls pays membres de l’espace Schengen (25 des 27 pays de l’UE). Il peut déjà être utilisé pour empêcher, même temporairement, à des individus de pénétrer dans tel ou tel pays membre pour une durée limitée — le temps d’un sommet international, par exemple. Le problème, c’est que la « convention SIS » prévoit, dans son article 99, que ces restrictions à la liberté de circulation sont réservées aux cas de « crimes ou délits extrêmement sérieux » ou encore aux «menaces sérieuses».

Pour l’heure, aucun consensus n’a semble-t-il été dégagé pour inclure la notion de « fauteur de troubles » dans le SIS. Mais l’idée rencontre encore un certain succès dans les appareils sécuritaires. Statewatch met en avant l’insistance du gouvernement allemand. Dans une note remise avant une réunion technique de coopération policière du 7 avril 2008, Berlin fait le même amalgame douteux entre « crimes » et « confrontations violentes » en suggérant la qualification tendancieuse de « délit particulièrement sérieux » (significant criminal offense).

Un délit particulièrement sérieux (…) tend à perturber sensiblement la paix publique et peut potentiellement avoir un effet considérable sur le sentiment public de sécurité.

Ficher les manifestants comme les tifosis ?

Cette notion n’est pas sans rappeler le fameux « sentiment d’insécurité », très en vogue en France pour servir de baromètre répressif après le moindre fait divers. Pour Tony Bunyan, fondateur et directeur de Statewatch, il est « absurde » de lier les délits ou crimes sérieux à la notion de « perturbation de la paix publique ». « Cela peut englober des manifestants non violents qui font un sit-in ou tout autre rassemblement de protestation. Ils pourraient être interprétés par la police comme ayant ‘un effet considérable’ sur le sentiment de sécurité ».

En février 2009, la délégation allemande ne lâche pas prise. Prenant prétexte de lutter contre les hooligans de football, elle propose de pouvoir ajouter dans SIS des alertes « fauteurs de troubles violents », et cela « même si ces alertes sont incompatibles avec les lois nationales »…

Il ressort de ces échanges que seuls deux pays, le Danemark, et donc l’Allemagne, ont inséré cette notion de « fauteur de trouble » dans leurs fichiers policiers. Reste que ce n’est pas toujours pour embrigader des supporters de foot, comme le montrent les mésaventures de notre militante anti-nucléaire.

A l’heure actuelle, le dossier « fauteur de trouble » est en stand-by. Mais Statewatch indique que la Commission devrait publier une note d’orientation, au plus tard en 2012. Ou plus tôt… Car lors de chaque « débordement » — toujours attribué aux manifestants, curieusement —, les faucons de l’ordre public européen mettent la pression. Juste après le sommet de l’OTAN d’avril 2009 à Strasbourg, une note de la présidence suédoise évoque le:

besoin d’échanger des informations sur des personnes qui perturbent l’ordre public et/ou menacent la sécurité publique, càd : hooligans sportifs, émeutiers violents, agresseurs sexuels, auteurs récidivistes de crimes sérieux.

Notez la nuance « et/ou », qui mélange de nouveau « criminels » et « perturbateurs ». Une idée qui a déjà séduit l’Italie de Berlusconi.
Suite à des manifestations étudiantes violemment réprimées en décembre 2010, le ministre de l’Intérieur Roberto Maroni a ni plus ni moins proposé que les manifestants soient fichés comme les tifosi, et soient exclus des manifs en cas de « violences répétées » comme un supporteur est interdit de stade après une bagarre… En France, le débat a été vif lors du lancement du funeste fichier EDVIGE, mis de côté puis légalisé fin 2009 dans le fichier PASP (« prévention des atteintes à la sécurité publique »).

Des hooligans aux manifestants en passant par les migrants et les musulmans

Interrogé par OWNI, le Superviseur européen à la protection des données, Peter Hustinx, n’a pas souhaité commenter ces développements. Ses services se sont contentés de nous renvoyer vers les innombrables avis et recommandations qu’il a publié sur les traitements de données à visées policières. Cela va sans dire: le Superviseur n’a aucun pouvoir pour bloquer ni amender les plans du Conseil en la matière. Pour Tony Bunyan de Statewatch:

La réponse de l’UE à la ‘guerre contre le terrorisme’ a conduit à cibler en premier les musulmans, les migrants aussi bien que les réfugiés et les demandeurs d’asile (…) Maintenant, l’idée émergente au sein de l’UE, c’est que les manifestations et le droit de protester deviennent une cible prioritaire de la politique européenne de ‘sécurité intérieure’

Statewatch insiste aussi sur la volonté du Conseil de l’UE, dès avril 2010, de créer un « instrument multidimentionnel » pour «c ollecter des données sur les processus de radicalisation ».

Tony Bunyan y voit une autre porte ouverte à l’amalgame. Dans un document technique, la notion d’ « idéologie supportant directement la violence » est élargie à une liste disparate de groupes divers :

extrémisme de droite ou de gauche, islamisme, nationalisme, anti-globalisation, etc.

Les documents du Conseil montrent en outre qu’il s’agit plus de renseignements que d’informations concrètes (faits constatés) visant des groupes condamnés pour des faits avérés. En réponse à une question écrite de députés européens sur ces notions de radicalisation violente, le Conseil et la Commission rivalisent de déclarations vertueuses:

Les conclusions du Conseil sur l’utilisation d’un instrument normalisé de collecte des données constituent des recommandations (…). L’un des objectifs de cet instrument, conformément à la stratégie de l’UE visant à lutter contre le terrorisme, est d’analyser les raisons pour lesquelles certaines personnes recourent à la violence pour poursuivre des objectifs politiques. La décision d’utiliser cet instrument technique revient à chaque État membre. » (Réponse du Conseil, 18/2/2011)

Le programme de Stockholm invite la Commission à examiner la meilleure manière de faire en sorte que les autorités compétentes des États membres puissent échanger des informations sur les déplacements des délinquants violents et à présenter une communication à ce sujet en 2012. (…) il est toutefois trop tôt pour préjuger de l’issue de l’analyse actuellement en cours. (…) ces termes n’ont été utilisés que dans des documents d’orientation, et pas dans des textes juridiques. (Réponse de la Commission, 10/01/2011)

Pourtant, la liberté d’expression est directement concernée car il est question de surveiller les « messages radicaux », c’est-à-dire les opinions et les écrits de tels ou tels groupes qui contesteraient l’ordre libéral actuel.

[Nico37]

Comment Sarkozy a tué la défense de la liberté d'expression sur Internet Guillaume Champeau

Dans son édition à paraître vendredi, Marianne revient en détails avec des documents exclusifs sur le coup de poignard donné par Nicolas Sarkozy au projet de défense de la liberté d'expression sur Internet qu'avait porté Bernard Kouchner au gouvernement.

C'était l'an dernier. Bernard Kouchner, alors ministre des affaires étrangères, publie au mois de mai 2010 dans Le Monde et dans le New-York Times une tribune vibrante pour la défense d'Internet. Il y plaide alors pour un " un Internet universel, ouvert, fondé sur la liberté d'expression et d'association, sur la tolérance et le respect de la vie privée ", opposé à " ceux qui voudraient transformer Internet en une multiplicité d'espaces fermés et verrouillés au service d'un régime, d'une propagande et de tous les fanatismes ". Avec son homologue néerlandais, la France et les Pays-Bas annoncent dans la foulée la création d'un "groupe de pilotage" visant à faire naître un instrument international de défense de la liberté d'expression sur Internet.

Une première réunion est organisée au Quai d'Orsay en juillet. Elle donne à Bernard Kouchner l'occasion de redire tout son attachement à la liberté d'expression sur Internet, alors qu'au même moment - en pleine affaire Woerth - le gouvernement et la majorité font bloc pour pourfendre Mediapart et Internet. Une conférence internationale, qui aurait dû être organisée à Paris le 15 octobre 2010, est reportée. Officiellement.

Officieusement, comme l'avait révélé la Quadrature du Net, c'est surtout que Nicolas Sarkozy a écrit à Bernard Kouchner pour l'obliger à revoir totalement ses ambitions et ses priorités. Plus question de défendre la liberté d'expression. Place à la défense d'un "internet civilisé", sécuritaire, où l'Hadopi fait office de symbole. Au ministre qui lui parle de liberté, le Président rétorque qu'il " ne serait pas convenable que l'Internet se développe comme une zone de non-droit ". Le Quai d'Orsay tente bien de faire croire que la conférence du 15 octobre n'a été que reportée, " à la demande des Pays-Bas ", mais personne n'est dupe. Jamais aucune nouvelle date n'a été proposée, et le sujet a été enterré.

" Un point de non-retour dans les relations entre Sarkozy et Kouchner "

C'est cet épisode, à l'écho très particulier depuis les " révolutions Facebook " des pays arabes, sur lequel revient Marianne, dans une enquête qui paraîtra ce vendredi dans les kiosques, et dont Numerama a pu prendre connaissance. Le journaliste Frédéric Martel, qui s'est procuré des notes du Quai d'Orsay et certaines correspondances avec l'Elysée, montre que Bernard Kouchner avait voulu faire de la défense d'internet et des cyberdissents " l’apogée de la carrière " , mais qu'il en a été empêché par Nicolas Sarkozy.

Le magazine cite un document confidentiel daté de juillet 2010, dans lequel l'ancien ministre expliquait que la France va " soutenir les cyberdissidents confrontés à la répression de la liberté d’expression " et qu'elle réfléchit même à apporter une " assistance technique " pour " contourner la censure ". " Dès la révolution en Iran, [Bernard Kouchner] a perçu l’importance du Web pour la diplomatie ", explique Marianne. En septembre, une note au ministre confirmait que la conférence d'octobre devait aider les défenseurs des droits de l'homme à maîtriser les " technologies de contournement (...) pour permettre des communications non filtrées " . Il était même question de proposer que tous les blogueurs bénéficient du même régime de protection que les journalistes. Tout cela avant la fameuse lettre de Nicolas Sarkozy, qui bloque le beau projet.

"Selon les nombreux témoins interrogés par Marianne, cette lettre est un point de non-retour dans les relations entre Sarkozy et Kouchner. Ce dernier aurait même menacé de démissionner, une nouvelle fois", raconte l'hebdomadaire. Pas question pour le ministre des affaires étrangères de transformer sa conférence sur la liberté en conférence sur la régulation et le contrôle, comme le demande le conseiller diplomatique de Sarkozy, Jean-Bernard Levitte. "Chez Kouchner, on est consterné par cette approche répressive", assure Marianne.

" Le ministre écrit avoir le soutien de « très nombreux gouvernements et acteurs de la société civile » qui « observent qu’Internet est aujourd’hui l’un des principaux alliés des défenseurs des droits de l’homme dans le monde [et qui] partagent [leur] inquiétude à l’égard de la répression croissante qui s’abat sur la Toile ». Kouchner enfonce le clou : « La défense d’un Internet ouvert, universel, est devenue un sujet majeur de politique internationale et une composante essentielle de notre engagement en faveur de la démocratie et des droits. » Rien n’y fait ".

Deux mois plus tard à peine, la Tunisie commençait à se soulever, à s'organiser par Facebook pour renverser Ben Ali. Michèle Alliot-Marie, qui avait définitivement rayé le projet de Kouchner lorsqu'elle l'a remplacé, est plus tard exclue du gouvernement, notamment pour avoir proposé d'apporter son aide contre les manifestants.

La conférence voulu par Bernard Kouchner avec 17 pays se transforme en e-G8, qui se tiendra mardi et mercredi prochain à Paris. " Des sujets programmés au temps de Kouchner, seuls demeurent le développement économique, la sécurité, la cybercriminalité, la gouvernance d’Internet et Hadopi – la liberté d’expression a mystérieusement disparu ", constate Marianne. " Les cyberdissidents deviennent définitivement persona non grata au e-G8 ".

[Nico37]

EU Database Nation(s): surveiller et punir en Europe

Les manifestants ne sont pas les seuls à être répertoriés dans les fichiers de l'Union européenne. Les migrants, les expulsés, les voyageurs et passagers, ceux qui utilisent le net ou le téléphone sont eux aussi "profilés".

La coopération policière et judiciaire bat son plein au sein de l’UE.

Par touches successives, les États ont accepté de perdre leur souveraineté en matière de maintien de l’ordre et de prévention de la criminalité. Au risque de créer de nouveaux amalgames qui menacent directement les manifestations légitimes ou de simples militants pacifistes.

L’information en la matière n’a jamais été le point fort de l’Union. Ce n’est que très récemment que la Commission européenne a publié — en juillet 2010 — un document exhaustif sur la liste exacte des différents traitements automatisés nominatifs à portée supra-nationale (« Présentation générale de la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice » — voir le résumé des procédés mis en oeuvre, et le rapport complet).

Certains utilisent des données collectées dans les États membres, d’autres comportent des éléments récoltés par des agences supranationales — comme Europol (coopération policière), Système d’information Schengen (SIS), ou encore Frontex (sécurité des frontières extérieures) — et partagés ensuite entre les 27 gouvernements. A cela s’ajoute des procédures d’échanges d’informations automatiques ou ponctuelles, décidées par le Conseil dans des « décisions-cadre » au gré de l’actualité (Traité de Prüm, Programme de Stockholm, etc.), échappant le plus souvent au regard des parlements nationaux (pointez la souris
sur les noms des fichiers pour faire apparaître leurs descriptions) :

- Les fichiers «souverains» de l’UE
- Eurodac Europol Eurojust VIS (système d’information des visas)
- SIS (Système d’information Schengen, 2001) et SIS-II (en cours)

Fichiers nationaux pouvant être partagés

Listes des voyageurs Données passagers (PNR) Données de communication et de trafic
Programme de Stockohlm
Données passagers (PNR) Listes noires (ESTA & EES) Fichiers policiers (EPRIS) Financement du terrorisme (TFTP de l'UE)

Dans cette liste à la Prévert, on stocke à la fois des données sur de simples suspects que sur des personnes condamnées, ou qui font l’objet de mandats d’arrêts.

Exemple : les fichiers d’Europol — baptisés «fichiers de travail à des fins d’analyse» — portent sur des personnes «suspectées» ou «condamnées», et plus largement sur ceux qui «pourraient commettre des infractions pénales» (article 12 du nouveau règlement Europol, d’avril 2009, .pdf en anglais). On y retrouve même des items qui firent hurler en France lors de l’affaire du fichier “Edvige”, comme des « données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, ainsi que le traitement de données concernant la santé ou la sexualité ».

Un individu présent dans un fichier peut se retrouver presque automatiquement dans les autres — SIS et SIS II (Schengen), VIS (visas), API et PNR (données passagers), SID (douanes), ECRIS (casiers judiciaires), Prüm, Europol, Eurojust, etc. Et ses données biométriques (digitales, génétiques, visages) peuvent être traitées dans pas moins de 8 fichiers ou systèmes d’échange.

Certains fichiers centralisés à l’UE — surtout ceux régulant les flux migratoires — comportent des données biométriques, y compris des profils ADN. Les durées de conversation sont soit imprécises soit jamais mentionnées — et dans le cas d’éléments partagées avec les Etats-Unis, c’est Washington qui décide : 15 ans de stockage, par exemple, pour les traces de tous les vols transatlantiques (fichiers PNR), vient de révéler The Guardian. Les autorités pouvant avoir accès varient en fonction des finalités. Les droits de recours, d’opposition ou de rectification ne font pas l’objet d’une communication rigoureuse et normalisée. Et les rares « autorités de contrôles » mises en place n’ont quasiment aucuns pouvoirs contraignants pour limiter la casse sur les droits politiques et sociaux. Bref, la machine à « surveiller et punir » de l’UE n’a rien à envier de sa grande soeur étasunienne.

Le Contrôleur européen à la protection des données (CEPD), Peter Hustinx, a publié en décembre 2010 un avis (.pdf) sur cette « présentation générale ». Un extrait illustre bien le dialogue de sourd qui s’instaure en haut lieu :

« La Commission évoque le concept de la prise en compte du respect de la vie privée dès la conception («privacy by design») à la page 25 de la communication (…) Le CEPD se félicite de la référence à ce concept qui est actuellement en cours de développement, dans le secteur public comme dans le secteur privé, et qui doit également jouer un rôle important dans le domaine de la police et de la justice.

Le CEPD remarque [néanmoins] que ni les orientations générales décrites dans cette communication, ni les lignes directrices élaborées par la Commission en matière d’analyse d’impact n’explicitent cet aspect et n’en font une exigence politique. »

La lutte contre le terrorisme est l’arme favorite de l’UE pour justifier de tels déploiements de surveillance technologique. C’est le domaine de compétences de Martin Scheinin, rapporteur spécial du Conseil des Droits de l’homme de l’ONU chargé de la « promotion des droits de l’homme dans la lutte contre le terrorisme ».

Des techniques au service du profiling

Dans un rapport de décembre 2009, il mentionnait les multiples entraves aux libertés individuelles des lois antiterroristes, en mettant l’Europe au même banc que les Etats-Unis. « Certaines intrusions dans la vie privée des personnes peuvent devenir permanentes dans la mesure où les traits physiques et biologiques sont souvent centralisés dans une seule base de données », remarquait-il. Parmi les outils et mesures les plus contestés :

* rassemblement de listes et de bases de données;
* surveillance accrue des données bancaires, de communications et relatives aux voyages;
* utilisation de techniques de profiling pour identifier des suspects potentiels;
* accumulation de fichiers encore plus larges pour évaluer la probabilité d’activités suspectes et l’identification de personnes à des fins d’analyses futures;
* techniques avancées comme la collecte de données biométriques ou de scanners corporels.

Martin Scheinin épinglait l’UE pour sa volonté de détourner Eurodac, le système d’identification biométrique des demandeurs d’asile, de sa finalité première (en sachant que détourner un fichier est une infraction pénale dans tous les pays de l’Union). Le Conseil de l’UE voulait sans complexe utiliser ce fichier d’empreintes digitales — de personnes très vulnérables, faut-il le rappeler — pour « aider à prévenir, détecter et enquêter sur les menaces terroristes ». Faisant ainsi un amalgame entre «migrants» et «terroristes»… Un projet en souffrance, mais qui pourrait voir le jour malgré l’opposition actuelle du Parlement européen.

Dans un rapport plus récent de mai 2010 (document .doc) portant spécifiquement sur la politique de sécurité européenne, il citait les systèmes SIS, Eurodac et VIS (systèmes d’information des visas) comme ayant les « plus sérieuses implications pour les libertés fondamentales » en pointant les multiples « insuffisances » dans la protection des personnes ciblées.

Le rapporteur spécial s’en prend aussi à l’une des décisions-cadres citées dans l’étude de la Commission. Celle prise en 2006 suite aux attentats de Madrid deux ans plus tôt, et visant à « faciliter l’échange d’informations entre les services répressifs des États membres ». Cela a pour conséquence, écrit-il, de permettre à certaines forces de police d’accéder à « des données qu’elles seraient dans l’impossibilité d’obtenir légalement dans leur propre pays »…

Le Traité de Prûm, inspiré lui aussi par les attentats de Londres et Madrid, signé en mai 2005 par seulement six pays européens (Belgique, France, Espagne, Allemagne, Luxembourg et Pays-Bas), a tout de même été intégré au régime légal de l’ensemble de l’UE. «C’est regrettable, déplore Martin Scheinin, ce traité autorise l’échange de profils ADN qui ont un très sérieux impact sur les libertés». Surtout que certains pays, comme la France, y incluent des profils génétiques de simples suspects, y compris mineurs.

Un fichier des reconduits à la frontière en charter

L’agence Frontex — matérialisation policière de la « Forteresse Europe » — envisage elle aussi de créer une base centralisée, placée sous sa responsabilité. Non recensée par l’étude de la Commission, car trop récent, son projet vise à ficher toute personne en situation irrégulière lorsqu’il est « reconduit » (« expulsé » en terme clair) dans le cadre d’«opérations conjointes de retour par voie aérienne» (en clair, des charters d’étrangers faisant escale dans plusieurs pays de l’Union).

Ce fichier central doit lister «le nombre et l’identité exacte [des expulsés], fournir une liste à la compagnie, identifier les risques liés à chaque personne, savoir si des mineurs sont présents» et quel est «l’état de santé de chacun pour leur apporter une aide médicale adéquate»

Le CEPD, dans un avis (.pdf) d’avril 2010, recommande que Frontex ne soit autorisé à traiter seulement la réponse à la question « ce passager est-il en bonne santé ? – oui/non». Il note aussi que l’agence a « oublié » de garantir aux personnes fichées leurs droits fondamentaux. « Frontex n’a jusqu’ici pas détaillé de procédures spécifiques pour garantir le droit de ces personnes» (droit d’information, d’accès, de rectification et d’opposition), et rappelle l’extrême fragilité des personnes prises en charge.

Dans la majeure partie des cas, leur langue natale ne sera pas celle d’un des états membres et seront de plus en situation de grande détresse. [Il faut donc que] l’information fournie leur soit compréhensible (…). [Pour] les personnes illettrées un agent devra pouvoir les informer par oral. Les notices d’informations devront être rédigées dans un langage clair et simple en évitant des terminologies juridiques (…).

Un autre projet intra-UE (non recensé) inquiète fortement le CEPD : Eurosur. Nom de code du « système européen de surveillance des frontières », il doit être présenté par la Commission en décembre 2011.
La dernière mention de ce projet dans les serveurs de Bruxelles date du 5 mai dernier, dans une note consacrée à la « crise migratoire » (sic) qui sévit en Méditerranée. Les réfugiés qui tentent de quitter leurs pays en guerre seront ravis d’apprendre que l’Europe les soigne au plus près. Alors que le bilan humain est chiffré par les ONG à plus de 1000 morts depuis janvier 2011, Eurosur est présenté comme une solution.
Objectifs : « créer un corps de garde-frontières européens » et parvenir à une « culture commune (…) soutenue par une coopération pratique »…

Dans un avis général (.pdf) de décembre 2010 portant sur « La stratégie de sécurité intérieure de l’UE en action », le CEPD s’interroge :

Le CEPD note qu’il n’est pas clairement établi si la proposition législative sur EUROSUR (…) prévoira aussi le traitement des données à caractère personnel (…). Cette question est d’autant plus pertinente que la communication établit un lien clair entre EUROSUR et FRONTEX aux niveaux tactique, opérationnel et stratégique.

Pas difficile de voir Eurosur comme une menace sérieuse pour les libertés individuelles. Car il se base sur une foule de projets technologiques financés par le 7ème projet-cadre de recherche de l’UE (2007-2013). Une belle brochure (.pdf), éditée en 2009, décrit les techno-merveilles d’une « Europe plus sûre ». Parmi les 45 projets recensés, 17 sont menées par des institutions dont l’activité principale est d’ordre militaire; 5 autres sont dirigés par des industriels de la
sécurité ou de la défense (Thales, Finmeccanica, EADS, Sagem, Saab et BAE Systems).

INDECT insiste par exemple sur la « sécurité des citoyens en environnement urbain ». ADABTS (Automatic Detection of Abnormal Behaviour and Threats in crowded Spaces), de BAE Systems, prévoit de son côté de détecter les « comportements anormaux dans la foule », grâce à des « capteurs acoustiques et vidéo ». Si les « hooligans » sont ciblés en premier, les manifestants ne seront pas oubliés.

Le projet « EU-SEC II » a la même pudeur en citant la surveillance des rencontres sportives, alors que tout rassemblement public sera dans le collimateur. Maîtres d’oeuvre du chantier : l’agence Europol et une vingtaine de directions nationales de la police (la DGPN pour la France).

Quant au projet IMSK (Integrated Mobile Security Kit), il se permet de citer les « sommets politique de type G8 » pour justifier un arsenal de « capteurs optiques, infra-rouges, radar, acoustiques et vibratoires, rayons-x et gamma… ». Et ainsi de suite…

PS. — Le titre s’inspire du bouquin “Database Nation” (O’Reilly, 2000), écrit par le journaliste de Wired Simson Garkinkel, qui décrivait les ramifications de fichiers en tous genres aux Etats-Unis.

[Nico37]

Dénoncer une faille de sécurité, c'est du piratage ?

TMG avait indiqué porter plainte pour cause de vol de données, sur un serveur... non protégé. A l'origine, une faille de sécurité mise au jour
par un blogueur. Finalement, il semblerait que l'affaire TMG vs Bluetouff n'aura pas lieu.

C'est une affaire dont Trident Media Guard (TMG) se serait bien passé.

En plus d'avoir été négligent sur la sécurité des données personnelles, le prestataire technique spécialisé dans les technologies d'analyse des flux sur les réseaux peer-to-peer, chargé de transmettre les adresses IP utilisées par l'Hadopi pour identifier les internautes qui téléchargent
des oeuvres protégées par le droit d'auteur, se retrouve aujourd'hui au centre d'un débat sur le hacking.

TMG s'est d'abord fait épingler par le blogueur Olivier Laurelli (Bluetouff) qui a découvert une faille de sécurité sur un de ses serveurs. En conséquence de quoi, l'Hadopi et la Cnil ont diligenté illico presto un contrôle, et Hadopi a suspendu sa connexion informatique avec TMG. Las, l'affaire ne s'arrête pas là puisque TMG a déclaré à Ouest-France avoir porté plainte, se déclarant "victime d'un vol de données". Or, la SCPP, un représentant des ayants-droit cité par PC Inpact, a expliqué que le serveur concerné n'était "pas protégé car ne contenant pas d'informations confidentielles". Lemonde.fr relevait que dans ce cas l'intrusion informatique n'est pas automatiquement caractérisée. Ne manquait plus que TMG s'en prenne sans raison légitime à Bluetouff pour catalyser le ressentiment des anti-Hadopi, déjà bien remontés à son encontre.

Cependant, contrairement aux apparences, l'affaire pourrait se calmer plus vite que prévu.

Olivier Laurelli a indiqué à lexpansion.com que Reflets.info, à l'origine de la publication, n'avait été notifié d'aucune plainte pour le moment. "Nous réfutons en tout cas toute accusation de piratage que pourrait invoquer TMG pour masquer maladroitement sa propre négligence.
Nous nous amusons en outre que la divulgation de données de test, avec des IP de test, d'internautes de test, sur un serveur de test... suscite un tel émoi chez TMG", explique-t-il.

Si aucune plainte n'est confirmée, c'est que du côté de chez TMG, on a peut-être parlé un peu trop vite. "Nous envisageons de retirer notre
plainte contre X", confie un porte-parole de la société, qui explique ne pas "vouloir jeter l'opprobre sur qui que ce soit", à moins de trouver une preuve formelle d'intrusion d'ici là. La plainte n'aurait peut-être même pas été déposée du tout.

Est-on coupable d'intrusion quand on entre sur un serveur non protégé ?

Dans le cas où elle le serait, la jurisprudence n'est pas si floue que cela en la matière et il y a de grandes chances que l'affaire soit classée. L'affaire qui fait référence est celle de Kitetoa, en 2002. Il s'agissait là encore d'un auteur de Reflets.info, qui avait découvert une faille de sécurité sur un serveur de Tati. "La cour d'appel a posé des principes sur les limites à respecter, qui font depuis autorité, explique Benoît Louvet, avocat spécialisé dans les domaines d'internet et de l'informatique. Il y a hacking soit à partir du moment où on contourne des mesures techniques qui empêchent d'entrer sur un serveur, ce qui revient à commettre une intrusion. Soit quand il n'y a pas de protection ou que la mesure n'est pas opérante, mais qu'il est évident qu'on entre dans un espace dans lequel on n'a pas le droit d'entrer." Un pirate coupable d'intrusion risque une amende et trois ans de prison, mais la peine est très théorique.

Qu'en est-il exactement pour TMG ? "Toutes les données étaient accessibles d'un simple clic, sans strictement aucun avertissement sur la nature confidentielle des données ni aucun dispositif de sécurité", précise Olivier Laurelli. Il semble donc bien que dans ce cas il n'y ait pas piratage.

Là où le droit est plus flou, c'est sur la dénonciation des failles de sécurité. Benoît Louvet rappelle qu'il n'y a ni obligation de dénonciation (cela n'existe que pour les crimes), ni interdiction. Si elle procède d'une volonté manifeste de nuire, cela joue en défaveur de son auteur. En revanche, si la dénonciation est utile - ce que l'on pourrait dire de l'avertissement lancé par Olivier Laurelli, personne n'a envie que ses données se baladent dans la nature -, cela n'entraîne pas forcément la clémence.

[Nico37]

Des établissements scolaires sont mis en demeure de modifier leurs dispositifs de vidéosurveillance jugés excessifs 30 mai 2011

Plusieurs établissements scolaires ont été mis en demeure par le Président de la CNIL de modifier leurs dispositifs de vidéosurveillance. Lors de contrôles, la CNIL a constaté que ces dispositifs filmaient en permanence des « lieux de vie » tels que la cour de récréation, le préau ou le foyer des élèves. Les élèves et les personnels de l’établissement étaient ainsi placés sous une surveillance permanente. Or, seules des circonstances exceptionnelles peuvent justifier la mise en place de tels dispositifs de surveillance.
Certains établissements scolaires utilisent maintenant depuis de nombreuses années la vidéoprotection afin de renforcer la sécurité de leurs abords. Ces dispositifs, parce qu’ils filment la voie publique, doivent être autorisés par le préfet.
Depuis quelques mois, la CNIL reçoit un nombre croissant de plaintes d’associations, de parents d’élèves ou d’enseignants concernant l’installation de caméras au sein même d’établissements scolaires et non plus seulement sur la voie publique. La CNIL a effectué des contrôles auprès de certains des établissements mis en cause afin d’apprécier la régularité de ces dispositifs.
Les caméras, qui peuvent être installées pour protéger les biens ou les personnes, lutter contre la fugue ou le tabagisme, filment les lieux de vie de ces établissements tels que les cours de récréation, les préaux, les jardins ou les foyers des élèves. Elles permettent alors une surveillance permanente des personnes qui s’y trouvent, qu’il s’agisse des élèves ou des enseignants.
Cette collecte excessive de données a conduit le président de la CNIL à mettre en demeure cinq de ces établissements de modifier leur système qui porte atteinte aux libertés des élèves et personnels de l’établissement scolaire, en les filmant en continu.
En effet, la sécurisation des biens et des personnes peut être obtenue par la mise en œuvre de moyens moins intrusifs : sécurisation renforcée des accès par exemple, ou configuration du dispositif de vidéosurveillance qui peut être limité aux seuls accès de l’établissement.
Seules des circonstances exceptionnelles – établissements scolaires victimes d’actes de malveillance fréquents et répétés – peuvent justifier que des élèves et des enseignants soient filmés en continu.
La Commission a également veillé à ce que les élèves, leurs parents et les personnels soient parfaitement informés de l’existence de ces dispositifs et de leur finalité, ce qui n’était pas toujours le cas.

Les caméras de surveillance indésirables dans les écoles

Cinq établissements scolaires qui avaient installé des caméras de vidéosurveillance dans leurs locaux sont sommés par la Cnil de les retirer au motif qu’elles portent atteinte aux libertés. Une initiative qui a valeur de jurisprudence.

De plus en plus populaires, en banlieue comme à la campagne, les systèmes de vidéosurveillance placés à l’intérieur des établissements scolaires connaissent peut-être leurs dernières heures. Saisie début 2010 par plusieurs associations de parents d’élèves et d’enseignants, la Commission nationale de l’informatique et des libertés (Cnil) vient de mettre en demeure cinq d’entre eux de retirer les équipements installés dans les lieux de vie, tels la cour de récréation, le préau ou le foyer des élèves.

Une décision qui concerne tout type d’établissement, de la maternelle au lycée, et « qui a valeur de jurisprudence », s’empresse de préciser la Cnil.
Pour justifier cette sanction, l’autorité indépendante estime que la présence de caméras à l’intérieur d’une école — celles qui filment les abords ne sont pas concernées — constitue « une collecte excessive de données, qui porte atteinte aux libertés des élèves et personnels ». « Dans un établissement scolaire, la sécurité des élèves doit d’abord être assurée par les surveillants et le personnel éducatif, résume Thomas Dautieu, responsable des contrôles à la Cnil. On ne peut pas dire aux enfants : Faites attention à votre vie privée sur Internet, et dans le même temps les filmer en permanence quand ils sont à l’école. »

De fait, cette mise en demeure établit une nouvelle norme en la matière. « En cas de plaintes similaires, nous appliquerons la même décision », prévient Thomas Dautieu. Seule exception : certaines écoles victimes d’actes de malveillance répétés pourront faire valoir la nécessité d’un tel dispositif. « Les chefs d’établissement devront justifier d’un danger réel pour la sécurité des biens ou des personnes, et dans des zones bien définies. Nous examinerons ces demandes au cas par cas », poursuit le responsable des contrôles. En cas de feu vert, l’école concernée devra « informer de façon claire élèves, parents et enseignants de la présence de caméras dans les locaux ».

Si aucun chiffre officiel ne permet de mesurer son ampleur, la vidéosurveillance en milieu scolaire est un « phénomène en augmentation » qui ne touche pas « uniquement les banlieues difficiles », rappelle la Cnil. Soucieuse de ne pas pointer du doigt les cinq écoles sanctionnées, la commission se contente de préciser qu’il ne s’agit pas « forcément d’établissements exposés à des faits de violence fréquents, l’un étant même situé dans une zone rurale réputée calme ». Si la mise en demeure n’est pas suivie d’effets, l’autorité pourra alors exiger le paiement d’une amende de 150 000 €. « Il y a peu de chances de devoir en arriver
là, assure Thomas Dautieu. En installant ces caméras, les chefs d’établissement n’avaient pas de mauvaises intentions. Ils ne s’étaient simplement pas posé la question de savoir s’ils en avaient vraiment besoin. »

[Nico37]

La vidéoprotection, une gabegie (tribune libre)

Après Paris, c'est Marseille, deuxième plus grande ville de France, qui a annoncé son plan "1 000 caméras". La question est à l'ordre du jour du conseil municipal extraordinaire qui a lieu le 30 juin dans la cité phocéenne. De fait, les municipalités de toute taille, de la grande métropole jusqu'au village de zone rural, sont de plus en plus nombreuses à s'équiper en vidéosurveillance. Elles répondent en cela à une "priorité" de la politique de sécurité depuis 2007. Et pourtant, l'efficacité de cette technologie est tout sauf démontrée du point de vue scientifique.

Rappelons d'abord que la vidéosurveillance est utile à bien des choses : pour surveiller des entrepôts, des dépôts et des parkings, afin de lutter contre le vol de matériel. Les banques l'utilisent pour filtrer les entrées et sorties et réduire les risques de braquage. Des magasins s'en servent contre le vol à l'étalage. Les casinos pour repérer les tricheurs.

La vidéosurveillance contribue aussi à la sécurité publique. On l'utilise pour surveiller le trafic autoroutier, et prévenir les accidents dans les sites industriels sensibles... Tout cela existe et fonctionne plus ou moins bien depuis longtemps. La vidéosurveillance est en effet utilisée dans des buts précis, afin de gérer des risques concrets bien identifiés.

Mais ce que l'Etat appelle désormais "vidéoprotection" et qu'il tente de généraliser à toutes les collectivités territoriales (et aux bailleurs sociaux) par une pression politique et une incitation financière, c'est autre chose. Il s'agit ici de déployer des caméras dans l'espace public, dans les rues de nos villes et de nos villages, pour y surveiller tout en général et rien en particulier, en affirmant que cela aura des effets à la fois préventifs et répressifs permettant de diminuer la délinquance.

Or, les évaluations scientifiques contredisent cette affirmation, remettant ainsi en question la bonne gestion de cet argent public.
Précisons d'abord que, par définition, l'évaluation scientifique ne peut être menée que par des chercheurs indépendants du pouvoir politique et des entreprises privées commercialisant cette technologie. L'éthique scientifique ne tolère pas le conflit d'intérêts.

Ensuite, l'évaluation scientifique ne se situe pas sur le terrain philosophique mais sur celui des faits. Elle cherche en l'espèce à répondre aux questions suivantes : la vidéoprotection est-elle une technique efficace de lutte contre la délinquance ? Est-elle un investissement rationnel au regard de l'évaluation d'autres outils de prévention et de répression ? Enfin, une évaluation scientifique repose sur des études de terrain, des observations longues et répétées de fonctionnements ordinaires des dispositifs, des comptages et des calculs précis, des comparaisons rigoureuses et une connaissance de la littérature scientifique internationale.

Tout cela se distingue des arguments des promoteurs politiques et financiers du système, qui utilisent des exemples spectaculaires mais isolés, des faits divers réels mais décontextualisés, des arguments d'autorité au lieu de démonstrations vérifiables et des calculs budgétaires qui "oublient" de compter le coût salarial. Pour toutes ces raisons, beaucoup d'élus et de citoyens seront sans doute surpris d'apprendre que, premièrement, la vidéoprotection n'a qu'un impact
marginal sur la délinquance ; deuxièmement, qu'augmenter cet impact supposerait des moyens policiers supplémentaires alors qu'ils se réduisent ; troisièmement, que le coût réel du système "assèche" tellement les budgets de prévention de la délinquance que l'on doit conclure à un usage très contestable de l'argent public. Développons un peu.

1. La vidéoprotection ne surveille par définition que l'espace public et elle est installée dans les centres-villes. Elle n'a donc aucun impact sur les violences physiques et sexuelles les plus graves et les plus répétées qui surviennent dans la sphère privée. Elle n'en a pas davantage sur les atteintes aux personnes, moins sérieuses, survenant sur la voie publique et qui relèvent le plus souvent d'actes impulsifs (bagarres, rixes entre automobilistes, querelles de sortie de bar, etc.).

Elle n'a ensuite qu'un impact dissuasif marginal sur des infractions fréquentes comme les vols de voiture, les cambriolages de résidences principales ou secondaires, et même sur toute la petite délinquance de voie publique des centres-villes où elle est installée. En réalité, la vidéo permet surtout de repérer et d'identifier a posteriori les auteurs de rixes et d'attroupements sur la voie publique, de dégradations de biens publics ou privés sur la voie publique, enfin, et plus rarement, de vols avec violence, de vols à l'étalage, de braquages de commerces ou encore de petits trafics de stupéfiants.

Tout cela à condition que les caméras soient positionnées sur les lieux de ces délits au bon moment, ce qui est loin d'être le cas, puisque la plupart des caméras effectuent des "parcours" prédéfinis laissant des zones sans surveillance pendant plusieurs minutes.

En définitive, l'impact en termes de détection d'infractions autres que routières se situe entre 1 % et 2 % du total des infractions sur la voie publique traitées en une année par les services de police ou de gendarmerie sur le territoire de la municipalité concernée.

Enfin, l'aspect judiciaire n'est guère plus probant. Les réquisitions d'images à des fins d'enquête après des infractions sont du même niveau statistique, sans que l'on sache si ces images ont été exploitables et exploitées dans la suite des procédures judiciaires. On est donc loin, très loin, d'un système efficace de prévention de la délinquance. Ce bilan plus que médiocre conduit nombre de villes déjà équipées à mobiliser la vidéosurveillance à d'autres usages qui permettent d'en légitimer l'utilité : le contrôle de la circulation et du stationnement, la sécurisation de l'intervention des policiers, des pompiers ou des ambulanciers.

2. Il existe de nombreuses évaluations étrangères (Angleterre, Australie, Canada, Etats-Unis...), qui montrent que, dans de rares cas, l'impact de la vidéosurveillance peut être plus important. Quel est le facteur-clé ? Contrairement au discours dominant en France, ce n'est pas l'augmentation du nombre de caméras. L'expérience londonienne (au moins 60 000 caméras, soit autant que ce qui est prévu pour la France entière) le montre. Il ne sert à rien de chercher à "saturer" l'espace et de s'émerveiller devant des murs d'écrans donnant le sentiment de voir et de contrôler toute une ville au même moment.

La clé réside dans le couplage étroit de la vidéosurveillance avec les forces de police présentes dans la rue, afin d'accroître le niveau d'information des policiers, mais aussi de diminuer leur temps d'intervention.

En d'autres termes, il ne sert pas à grand-chose de repérer plus vite un problème si la police n'intervient pas plus vite. Dès lors, la situation française apparaît dans tout son paradoxe, pour ne pas dire dans son absurdité puisque la vidéoprotection est promue par les pouvoirs publics comme un substitut et une contrepartie à la réduction des effectifs policiers.

3. Il est sans doute inévitable que des entreprises à but lucratif cherchent à vendre leurs produits à tout prix, en les présentant comme dotés de facultés qu'ils n'ont qu'en partie et en dissimulant les coûts réels pour l'utilisateur. Cela se constate dans tous les domaines, et le marché privé de la sécurité n'échappe pas à la règle.

Il est en revanche plus étonnant que l'Etat participe à ce marketing par l'intermédiaire des préfets, ainsi que de fonctionnaires de police et de gendarmerie chargés de relayer sur le terrain le "plan de vente" des entreprises privées. En effet, les caméras perdent toute efficacité préventive lorsqu'elles ne sont reliées à aucun système de visionnage en temps réel et qu'une municipalité ou un bailleur ne peut donc qu'espérer, par exemple, récupérer le matin une image exploitable d'une infraction commise la veille.

Et que l'on ne dise pas que le raccordement des caméras aux postes de police ou de gendarmerie résoudra le problème puisque, encore une fois, cela s'effectue conjointement à la réduction du nombre de ces fonctionnaires et donc de leur disponibilité pour des missions nouvelles. En réalité, pour avoir des chances de donner des résultats, le système de caméras doit être relié à un centre de supervision dans lequel des opérateurs visionnent les images 24 heures sur 24 et 365
jours sur 365.

De plus, ces opérateurs doivent être assez nombreux pour limiter le nombre d'écrans à visionner faute de quoi, au bout de quelques minutes, les observations montrent qu'ils ne voient plus rien. Ainsi, l'on est en train de rompre l'égalité de traitement du service public et de compromettre toute politique globale et intégrée de prévention de la délinquance, au profit d'un mirage technologique que seules les communes les plus riches pourront s'offrir pour des profits qui s'estimeront davantage en termes de visibilité politique et de sentiment d'insécurité que de lutte efficace contre la délinquance. S'agit-il en tout cela d'une politique rationnelle, efficace et bonne gestionnaire des deniers publics ? Il est permis d'en douter.

Eric Heilmann est professeur à l'université de Bourgogne ;
Tanguy Le Goff est chercheur à l'Institut d'aménagement et d'urbanisme de la région Ile-de-France ;
Laurent Mucchielli est directeur de recherches au CNRS.

Eric Heilmann, Tanguy Le Goff et Laurent Mucchielli (Le grand débat)

[Nico37]

PV : les policiers de Laval fliqués

Le syndicat Unité Police dénonce un tableau recensant le nombre de contraventions quotidien des agents.

Un tableau nominatif de suivi quotidien des contraventions dressées par les policiers a été mis en place depuis deux ans au commissariat de Laval (Mayenne). Ce qui fait réagir le syndicat Unité SGP Police FO.

« Un tel procédé pour suivre les résultats quotidiens de chaque collègue n'est pas normal, dénonce Mickaël Godement, son délégué départemental.
Et ce fichier informatique n'est pas déclaré à la Commission nationale informatique et liberté (Cnil). » Habituellement, les résultats sont collectés au niveau de chaque unité, selon le syndicat.

« Obsession des chiffres et des statistiques »

La hiérarchie a répété aux syndicats qu'il n'y avait « pas d'utilisation personnelle de ce fichier ». Pourtant, mettre ou pas beaucoup de PV ne serait pas sans conséquence. À un policier qui s'étonnait de voir ses vacances refusées, alors que son collègue, appartenant à la même unité, avait bénéficié de deux périodes de congé, il se serait vu rétorquer : « Tu n'as qu'à voir ton résultat contraventionnel. »

Unité Police dénonce « une obsession des chiffres et des statistiques ».
« Nous avons discuté avec la hiérarchie à plusieurs reprises de ces pratiques que nous jugeons illégales, raconte Mickaël Godement. Nous nous heurtons à un mur. Le dialogue est rompu. »

Le responsable d'Unité Police Pays de la Loire, Yonnel Letourneau, pointe une dérive propre à ce commissariat : « À ma connaissance, cette pratique n'existe pas ailleurs dans la région. » Le syndicat envisage de saisir le préfet. Contacté, le commissaire Arnaud Desjardins déclare qu'il n'y a « pas de quota » et qu'il s'agit « d'affiner les évaluations des fonctionnaires ». Il souligne qu'il s'agit « d'un indicateur parmi d'autres » et que « ces informations étaient déjà disponibles dans le logiciel informatique. »

[Nico37]

Des nouvelles du projet d'identifiant numérique universel L'Expansion.com avec AFP

Eric Besson a lancé l'étude de préfiguration qui devra fournir des recommandations pour le déploiement de l'identifiant électronique universel, le projet "Idenum".

Le ministre de l'Industrie et de l'économie numérique Eric Besson a lancé mardi les bases du projet "Idénum", qui permettra aux Français d'avoir un même identifiant sur plusieurs sites internet, et dont une première version pourrait voir le jour d'ici la fin de l'année. Quatre premiers partenaires - La Poste, France Télécom-Orange, SFR et la Fédération française bancaire - sont "prêts à avancer concrètement" sur ce projet et à "proposer avec l'aide de l'Etat des offres commerciales dans les prochains mois", a indiqué le ministre lors d'une conférence de presse.

Un internaute français dispose en moyenne de douze comptes numériques distincts sur internet, dont deux adresses de messagerie électronique, deux comptes de réseaux sociaux et quatre comptes sur des sites d'e-commerce, a souligné Eric Besson.

Plaidant pour un "espace numérique de confiance", il indique "vouloir poser les bases d'un consortium d'acteurs capables de mettre en oeuvre le projet Idénum avant la fin de l'année". Ce "consortium" serait chargé de "coordonner les actions des émetteurs de produits et des futurs sites accepteurs de ces solutions", a précisé Eric Besson.

Une étude dite "de préfiguration", confiée au cabinet McKinsey et pilotée par la Caisse des dépôts et consignations, rendra ses conclusions "sous trois mois et son rapport final à l'automne" afin de "préconiser un modèle économique pour un déploiement à grande échelle" d'Idénum.

Selon le ministre, les services numériques concernés pourraient aussi, à l'avenir, donner accès "aux fiches d'état-civil, aux extraits d'actes judiciaires, à la récupération de son acte de naissance, à l'inscription en université ou à un concours ou encore au Dossier médical personnel".

M. Besson a également tenu à souligner qu'Idénum "est parfaitement complémentaire avec la carte nationale d'identité électronique (CNIE), dont le projet de texte est en lecture au Sénat" et que des "synergies" seront développées entre les deux projets.

31 mai 2011 - Lancement de l'étude de préfiguration d'un consortium IDéNum (discours d'Eric Besson)

[Nico37]

La CNIL demande un "instrument juridique international" dédié à la vie privée

La CNIL a marqué sa satisfaction de voir la vie privée être évoquée par les dirigeants du G8 lors de la déclaration finale. L'autorité de contrôle appelle désormais les gouvernements à concevoir les outils juridiques adéquats pour permettre aux internautes de préserver leur vie privée en ligne partout dans le monde.

Après le coup de colère de la Commission nationale de l'informatique et des libertés pour ne pas avoir été invité lors du forum eG8 réunissant les grands patrons du net, l'autorité de contrôle française est revenue à plus de mesure. Bien qu'elle n'a pu participer au débat sur la vie privée dans la sphère numérique, la CNIL a manifesté sa satisfaction de voir cet enjeu être mentionné par les chefs d'État lors de la déclaration finale.

Pour rappel, ces derniers ont reconnu que "la protection effective des données à caractère personnel et de la vie privée sur l'Internet est essentielle pour assurer la confiance des utilisateurs". Ils ont appelé "à la définition d'approches communes tenant compte des cadres juridiques nationaux, qui soient fondées sur les droits de l'homme et protègent les données à caractère personnel, tout en permettant les transferts légitimes de données".

Face à la reconnaissance de la protection des données personnelles comme un droit essentiel pour les individus, la CNIL invite les gouvernants à passer du discours aux actes en élaborant au plus vite "un instrument juridique international". Ce nouvel outil juridique devra reposer sur des normes contraignantes applicables dans n'importe quel pays du monde.

Le droit à l'oubli sera l'une des grandes questions à résoudre. L'an dernier, la CNIL avait montré sa crainte en soulignant les divergences de vues entre les différents pays sur cet enjeu. À l'époque, le président de la CNIL avait estimé que le moindre accord sur cette question allait prendre des années à émerger. Or à ce moment-là, le traçage des individus aura sans doute atteint un point irréversible, selon les règles des principaux acteurs du net.

En attendant que les acteurs politiques s'activent sur cette question, la CNIL prend les devants et traite directement avec les grandes sociétés du net. Google a ainsi souvent eu à faire avec elle, en particulier depuis l'épisode de Street View. Auparavant, avec neuf autres autorités de contrôle, la Commission avait écrit à Google pour lui demander de jouer un rôle de leader en matière de protection de la vie privée des internautes, en montrant l'exemple.

[Nico37]

L'Allemagne envisage un système de riposte graduée

Bernd Neumann, le ministre de la culture allemand, a annoncé envisager de mettre en place un système de riposte graduée, similaire à celui instauré par la Hadopi en France, pour lutter contre le téléchargement illégal. S'exprimant lors d'une convention de la CDU (conservateurs), le ministre a estimé que les fournisseurs d'accès à Internet devaient "prendre leurs responsabilités" et il s'est dit favorable à la mise en place d'un système d'avertissement avant la sanction juridique.

Ce modèle, dit de "riposte graduée", est celui choisi par la Hadopi en France : l'internaute soupçonné de télécharger reçoit un premier avertissement par mail, puis un second par lettre recommandée, avant l'éventuelle transmission de son dossier au parquet, qui pourra décider d'une peine d'amende ou de suspension de l'accès à Internet.

REJET DE LA LICENCE GLOBALE

Le ministre a rejeté la proposition du parti Vert, qui souhaitait instaurer une "contribution créative" ou "licence globale" pour régler le problème du téléchargement illégal. Dans ce système, également proposé en France par une partie de l'opposition lors des débats sur la loi dite "Hadopi", les internautes payent un supplément à leur abonnement à Internet, qui est ensuite redistribué aux ayants droit, en échange d'une dépénalisation du téléchargement à usage personnel et non-commercial. Un système jugé ""inapplicable" et "anticonstitutionnel" par Bernd Neumann.

A l'issue du G8 de Deauville, qui s'est achevé vendredi, les huit pays les plus industrialisés se sont engagés à prendre des mesures strictes en faveur de la protection du droit d'auteur. Le sujet demeure l'un des principaux points de clivage entre les gouvernements, les associations de défense des internautes, et l'industrie. Lors de l'e-G8, le sommet préparatoire au G8 consacré à Internet, les entreprises de services, comme Google, se sont montrées critiques à l'endroit des législations très protectrices du droit d'auteur, tandis que les ayants droit et le gouvernement ont argumenté en faveur d'une extension du modèle de la
Hadopi à l'étranger.

[Nico37]

L’utilité (politique) de la vidéosurveillance Par Laurent Mucchielli| 10 août 2011

Mettre des caméras dans tous les coins de la ville, ça ne sert à rien. Si ce n’est à soigner son image auprès des électeurs. Le sociologue Laurent Mucchielli s’interroge sur ce qui pousse de plus en plus d’élus locaux, de droite comme de gauche, à se laisser tenter par la vidéosurveillance.

Les études scientifiques démontrent à la fois le peu d’efficacité et le coût exorbitant de la vidéosurveillance. Et pourtant les communes – grandes ou petites – continuent às’équiper de plus en plus. Comportement irrationnel des élus ? Du point de vue de la performance du dispositif, c’est évident. Mais l’effet de mode et les attitudes conformistes ne suffisent pas à expliquer que cela se développe à ce point.

D’autres formes de rationalité sont à l’oeuvre. Il faut donc inverser la question et se demander quelles « bonnes raisons » ont les élus locaux d’agir ainsi. On comprend alors assez vite que la vidéosurveillance, ça sert aussi, et parfois même avant tout, à faire de la politique auprès de ses électeurs.

Sachant que le mythe du progrès par la technologie est très répandu et que les élus et leurs services techniques ne sont généralement pas informés de l’existence des critiques scientifiques de la vidéosurveillance, on ne voit pas pourquoi ils y résisteraient. En réalité, deux constats les poussent même fortement à adhérer au dispositif et à le retourner à leur avantage (politique).

Pourquoi résister  ?

Premièrement, il s’agit quasiment d’une injonction de l’Etat qui exerce une très forte pression sur les élus locaux par le biais des préfets bien sûr, mais aussi de la hiérarchie policière et gendarmique sommée en quelque sorte de se transformer en représentant de commerce des marchands de caméras.

Ainsi, par exemple, un article du journal Sud Ouest (le 16 octobre 2010) nous apprend que, l’avant-veille, lors de la séance inaugurale du Conseil intercommunal de sécurité et de prévention de la délinquance de Saint- André-de-Cubzac (commune de 9 000 habitants en Gironde), le sous-préfet a réclamé l’installation de la vidéosurveillance, soutenu par le (nouveau) capitaine de gendarmerie.

Le maire (PS) résiste toutefois, persuadé qu’il est (et il a raison) qu’il vaut mieux « renforcer les moyens humains et embaucher un nouveau garde champêtre ». Beaucoup d’autres n’ont pas résisté, même lorsqu’ils partagent l’analyse.

Deuxièmement, malgré les critiques des associations de défense des libertés publiques, la vidéosurveillance est pour le moment acceptée par la majorité de la population. La plupart des gens y sont assez indifférents, une minorité (à fort sentiment d’insécurité) la soutient même activement (les commerçants, les personnes âgées). Pourquoi donc s’y opposer ? Pourquoi, même, ne pas en profiter, récupérer l’idée à son avantage et s’en servir activement auprès de ses électeurs ? C’est ce que les maires sont de plus en plus nombreux à faire.

Faits divers

La vidéosurveillance sert en effet à faire de la politique auprès de ses électeurs. Pour ne fâcher personne, nous prendrons un exemple dans chaque bord politique.

A gauche d’abord. La ville de Montpellier est équipée depuis dix ans de la vidéosurveillance. En 2009, elle comptait 114 caméras, essentiellement dans le centre-ville et dans le quartier de la Mosson où se trouve son grand stade de football. Madame le maire (Hélène Mandroux, socialiste, qui a succédé à Georges Frêche) compte-t-elle développer encore le système ? La tentation de l’usage politique pourrait l’en décider.

On le comprend en lisant le communiqué de presse de la mairie publié le 30 septembre qui dit ceci : « En marge de son déplacement dans le quartier Hôpitaux-Facultés, Hélène Mandroux a rencontré aujourd’hui, en tête-à-tête, Annick Neumuller, la mère de Ludmilla, assassinée cet été dans le bureau de tabac de la rue des Tilleuls. A l’occasion de cette visite, les commerçants du centre commercial La Colombière lui ont également remis une copie de la lettre adressée à la Mairie. Hélène Mandroux les a informés que la Ville mettait à l’étude l’installation d’une caméra dans ce quartier dans le cadre du déploiement de la vidéosurveillance à Montpellier. » Mettra t-on une caméra dans chaque lieu de survenance d’un dramatique fait divers médiatisé ?

A droite maintenant, où certains semblent prêts à tout pour tirer parti de la mode actuelle. Jugez plutôt. Située à une vingtaine de kilomètres au nord de Lyon et au sud de Villefranche-sur- Saône, voici la commune de Chazay d’Azergues, 4 000 habitants, paisible gros village de la région du Beaujolais des Pierres dorées.

Jusqu’au ridicule

Le magazine Lyon Capitale et le site internet Rue 89 nous apprennent le premier octobre 2010 que le maire, Alain Martinet (UMP), y a fait installer 37 caméras de vidéosurveillance. Avec un taux qui approche donc 1 caméra pour 100 habitants, Chazay d’Azergues se trouve ainsi être désormais la commune la plus vidéosurveillée de France. Rien ne doit échapper à l’oeil des caméras selon le maire, pas même l’école primaire (6 caméras), ni l’école maternelle (3 caméras) ni même la crèche que surveillent 6 caméras !

Le système se trouve ainsi poussé jusqu’à la caricature et au ridicule. Or pourquoi une telle aberration, sinon parce que ce maire pense que ses électeurs lui en seront reconnaissants et que c’est donc une bonne opération politique pour lui ?

[Nico37]

Syrie : Ultrasurf, ou comment le gouvernement Syrien (ne) piège (pas) ses opposants avec un malware

Après l’Égypte ce matin, notre équipe s’est attaquée à la problématique syrienne. Nous avons cherché à comprendre comment le pouvoir de Bachar el Assad s’y prenait pour voler les comptes Facebook, Twitter, ou Gmail de ses opposants, et comment il parvient à les identifier pour les arrêter. Nous avons réussi à mettre en lumière l’un des procédés du gouvernement Syrien afin de piéger ses opposants.

C’est l’histoire banale d’un logiciel qui fait le contraire de ce qu’il prétend faire. Ultrasurf est un logiciel proxy qui a été très utilisé par les dissidents syriens. Le fonctionnement attendu, à savoir une dissimulation de l’identité de ses utilisateurs semblait opérante. Mais en réalité, ce logiciel installait l’arsenal permettant aux forces de sécurité syriennes d’identifier précisément ses utilisateurs et de les surveiller étroitement. Cette version vérolée d’Ultrasurf a énormément circulé par email, l’origine de sa propagation serait donc un bête social engineering, par mail ou sur Facebook.

Mais voilà, la version qui a été largement diffusée en Syrie contenait un petit paquet cadeau. Renommé avec une extension .jpg soi disant pour échapper à la censure, le fichier infectait la machine des opposants avec un trojan identifié comme Trojan.Backdoor.Hupigon5 (Sig-Id:
41437250) par le scanner IKARUS. Veuillez trouver l’analyse complète ici (format txt).

Vous trouverez également le dump pcap de l’activité réseau de ce logiciel ici (à ouvrir avec Wireshark).

Le comportement semble relativement élaboré : redirection du 80 vers le ssl, encapsulation des données dans un tunnel et surtout, une modification en base de registre de tous les certificats SSL. Ainsi les utilisateurs pensent leur session sécurisée, ils offrent en fait à des tiers tous leurs mots de passe.

modif certificats ssl

Cette affaire nous a été remontée par une journaliste ayant exercé en Syrie et en Égypte. Ce logiciel n’était jusque là que soupçonné de manière plus ou moins lointaine, Reflets a donc simplement mis en évidence sa probable responsabilité dans l’arrestation de nombreux dissidents. Il est donc important que ce logiciel, qui était diffusé sous les noms de U89 ou U1010.jpg (à renommer en exe) ne soit plus
installé par les Syriens. Les méthodes de voyous utilisées par le régime de Barchar El Assad sont tout à fait révoltantes.

Tunisiens, égyptiens, libyens, syriens… que tous les peuples qui se sont soulevés et dont les dissidents ont obtenu des logiciels sensés masquer leur identité par mail ou des sources non sures (à savoir autrement qu’en les téléchargeant sur les sites officiels), désinstallent ces logiciels et inspectent leur machine. Nous vous recommandons l’utilisation de plusieurs antivirus en ligne pour effectuer une examen approfondi. Si votre compte Facebook ou Gmail a été piraté, il se peut que ce soit par le même genre de procédés et que votre machine soit encore infectée.

L’été dernier, la vague de piratage de comptes Facebook en Tunisie pourrait trouver une partie de son explication par la méthode que nous venons de vous expliquer ici.

Greets halona, fo0 & Julie

Edit 2 : Nous avons étudié le logiciel distribué sur le site officiel de l’éditeur d’Ultrasurf. Il est également porteur d’un code malveillant.
Cette découverte, conjuguée à la nature et à l’origine des serveurs avec lesquels il communique nous fait nous poser quelques questions sur ce logiciel et nous doutons aujourd’hui que l’inoculation de ce code malveillant ait pour origine les services syriens. Plusieurs thèses sont possibles.

1° Ultrareach, la société d’origine américaine qui édite ce logiciel diffuse volontairement ce soft vérolé comme un moyen de collecte d’information extérieur. Dans le plus extrême des scénario, Ultrareach serait donc un faux nez d’une agence gouvernementale américaine.

2° Ultrareach est une entreprise malhonnête qui cherche à piller ses utilisateurs

3° La version étudiée émanant du site contient une variante très récente de Themida (détectée par Nod32) et Trojan.DownLoader3.12161(détecté par DrWeb). Les versions précédentes contiennent d’autres malware, Ultrareach maintient donc, semble t-il, le code malveillant, et l’améliore. Le hic, c’est que nous avons trouvé des traces de l’entreprise qui l’édite dans un rapport du congrès américain… et que toutes les informations sur la domiciliation de l’entreprise, son dirigeant (seule et unique identité en rapport avec Ultrareach)… n’existent pas. Pourtant le document du Congrès américain évoque des financements débloqués et cite cette « entreprise ».

Actuellement, nous ne nous expliquons pas le choix fait, à savoir, modifier les certificats SSL, action permettant, accompagnée d’un phishing de récupérer les informations d’identification des utilisateurs. Quel intérêt pourrait avoir une société américaine dépendant d’une agence de renseignement dans une telle manipulation alors qu’il lui suffit d’obtenir les certificats originaux des Facebook, Gmails etc… en invoquant le Patriot Act ?

Edit 1 : suite à certains commentaires sur cet article, nous insistons sur le fait que ce dernier décrit un mécanisme permettant de voler des identifiants de sessions normalement sécurisées par SSL. Ceci implique d’autres moyens qu’une simple capture de trafic avec certains équipements adaptés.

[Nico37]

Les USA veulent ficher, pendant 15 ans, les voyageurs européens par Jean Marc Manach

Les instances européennes sont appelées à valider le fichage des passagers aériens à destination des Etats-Unis. Problème: il ne respecte pas vraiment les droits fondamentaux européens...

Les Etats-Unis veulent pouvoir conserver, pendant 15 ans, les données personnelles (noms, coordonnées, numéros de carte bancaire et de téléphone) de tous les passagers aériens à destination de leur pays, ainsi que leurs itinéraires, les personnes avec qui ils voyagent, etc. Plusieurs pays, dont la France, auraient exprimé des doutes sur la conformité du protocole d’accord établi par la Commission européenne qui, pour certains eurodéputés, violerait la charte des droits fondamentaux, ainsi que la convention européenne des droits de l’homme.

Dans la foulée des attentats du 11 septembre 2001, les Etats-Unis ont imposé aux compagnies aériennes d’accéder à leurs fichiers clients, connus sous le nom de code PNR (pour Passenger Name Record, données des dossiers passagers), faute de quoi elles pouvaient se voir interdire d’atterrir.

Cette exigence allant à l’encontre des textes de loi européens encadrant la protection et la circulation des données personnelles, les Etats-Unis cherchent depuis à officialiser, par un accord portant sur “le traitement et le transfert de données des dossiers passagers“, ce qu’ils continuent d’exiger des compagnies aériennes.

Un premier accord, négocié en 2004, avait été invalidé par la Cour de justice européenne en 2006 au motif qu’il n’était pas fondé “sur une base juridique appropriée“. Un second accord, signé en 2007, avait été rejeté par les eurodéputés, au motif qu’il ne respectait pas les normes européennes en matière de protection des données, et parce qu’ils entendaient ainsi “refuser le profilage” :

Refuser le profilage : le Parlement réitère sa position selon laquelle les données PNR ne peuvent en aucun cas être utilisées à des fins d’exploration de données ou de profilage. Il faut donc préciser les différences entre les concepts d’«évaluation du risque» et de «profilage» en matière de PNR.

Le groupe du G29, qui regroupe les CNIL européennes, a plusieurs fois dénoncé lui aussi cette “surveillance généralisée de tous les passagers, indépendamment du fait qu’ils soient soupçonnés ou innocents“. Tous objectent que les Etats-Unis “n’ont jamais prouvé de façon concluante que la quantité considérable de données passagers collectée est véritablement nécessaire à la lutte contre le terrorisme et la grande criminalité“.

Un risque de “fuite” vers des pays tiers

Le Guardian a récemment publié une version de travail du projet d’accord établi avec la Commission européenne. Il reprend pour l’essentiel les exigences américaines. Le Département de la Sécurité intérieure (DHS) américain voudrait ainsi pouvoir accéder au PNR 96 heures avant le décollage des avions (contre 72h à ce jour), afin d’avoir le temps de comparer les données avec leurs listes noires de terroristes et d’immigration.

Les données sensibles (couleur, origine ethnique, opinions politiques, croyances religieuses, opinions philosophiques, appartenances syndicales, données de santé ou sur la vie sexuelle des individus) seront “masquées” au moyen de filtres automatisés. Mais leur utilisation sera néanmoins permise “dans des circonstances exceptionnelles où la vie d’un individu pourrait être mise en péril” et “au cas par cas“.

Les données devront être “dépersonnalisées” au bout de 6 mois, puis, 5 ans après, stockées dans une base “dormante” pendant 10 ans. Elles pourront également être confiées à des services de pays tiers, et non-européens, ouvrant la voie à leur possible réutilisation, ou détournement, par des fonctionnaires de pays moins scrupuleux en matière de protection des données personnelles, ou encore plus faillibles en terme de corruption.

Les passagers qui, par erreur, se verront refuser à l’embarquement, ou dont les données auront été détournées, ne pourront déposer de recours qu’auprès de la justice américaine.

La France critique le protocole d’accord

Pour Edri, qui fédère 28 ONG européennes de défense des libertés, l’accord autorise le “profilage” qu’avait refusé les eurodéputés, et donc “l’utilisation des données pour classer les passagers en fonction des risques qu’ils pourraient poser“.

Sept pays (Allemagne, Autriche, Belgique, France, Irlande, Portugal et république Tchèque), inquiets des risques de fuite de données lors de leur transmission à des pays tiers, auraient exprimé des doutes, notamment en ce qui concerne le transfert des données PNR à des pays tiers, et exprimé des réserves au motif que “l’accord pose problème“.

D’après un compte-rendu des négociations, qu’OWNI a pu consulter, si la France n’a pas encore pris position de façon définitive, elle n’en aurait pas moins “massivement critiqué les garanties insuffisantes” du protocole d’accord, l’Assemblée nationale considérant qu’il s’agit d’un “dossier conflictuel“. Une efficacité qui reste à démontrer

La Commission européenne, de son côté, refuse de renégocier l’accord. Le Sénat américain a quant à lui adopté, le 18 mai, une résolution hostile à toute modification du protocole d’accord :

Nous ne pouvons simplement pas accepter de changements à l’accord qui pourraient limiter à l’avenir notre capacité d’identifier et d’arrêter des terroristes ou des terroristes potentiels.

Les sénateurs américains avancent que, depuis 2001, le PNR aurait permis l’arrestation d’”au moins deux terroristes“, Faisal Shahzad, qui avait déposé une bombe à Times Square, et David Headley qui avait participé aux attentats de Mumbai en 2008.

Dans les faits, Shahzad a non seulement été arrêté aux États-Unis, et non en Europe, mais il avait même réussi à embarquer dans l’avion alors même qu’il avait été inscrit sur la liste noire des personnes interdites d’embarquement…
Quant à Headley, les autorités indiennes se sont précisément indignées de la facilité avec laquelle il avait réussi à prendre si souvent l’avion entre le Pakistan, l’Inde et les États-Unis…

Plusieurs eurodéputés ont d’ores et déjà déclaré que l’accord, en l’état, était “injustifiable et disproportionné“. Bien qu’absent de l’agenda du Conseil Justice et Affaires intérieures des 9 et 10 juin prochains, l’accord PNR pourrait y être débattu, en même temps qu’un autre protocole d’accord similaire, passé avec l’Australie qui, lui, limite la rétention des données à 5 ans “seulement“.

Reste donc à savoir si les instances européennes respecteront la charte des droits fondamentaux, ainsi que la convention européenne sur les droits de l’homme, ou si elles s’aligneront sur les exigences américaines.

[Nico37]

La conservation des données, ça c’est vraiment CEPD

La directive européenne sur la conservation des données, adoptée aux fins de lutte antiterroriste, est une "atteinte massive à la vie privée", estime le Contrôleur européen à la protection des données. Tags CEPD, cnil, logs par Jean Marc Manach Le 13 juin 2011

Peter Hustinx, le contrôleur européen à la protection des données personnelles (CEPD), vient de proposer à la Commission européenne, dans un communiqué (.pdf) publié le 31 mai dernier, d’”abroger” la directive européenne sur la conservation des données, qui oblige les fournisseurs d’accès à l’Internet (FAI) et les opérateurs téléphoniques à conserver les traces de ce que font les citoyens sur les réseaux de télécommunication, au motif qu’elle “ne répond pas aux exigences de protection des données personnelles“.

A la manière d’une CNIL européenne, le CEPD a pour “objectif général de veiller à ce que les institutions et les organes communautaires respectent le droit à la vie privée“. Ce pour quoi, en décembre dernier, Peter Hustinx avait déjà qualifié (.pdf) cette directive sur la conservation des données, adoptée en 2006 en réaction aux attentats de Madrid et de Londres, d’”atteinte massive à la vie privée“, et qu’elle constituait “sans aucun doute l’instrument le plus préjudiciable au respect de la vie privée jamais adopté par l’Union européenne eu égard à son ampleur et au nombre de personnes qu’elle touche” :

Conserver les données relatives aux communications et les données de positionnement de tous les citoyens de l’Union européenne, chaque fois qu’ils utilisent leur téléphone ou internet, constitue une énorme ingérence dans le droit au respect de la vie privée de la population.

En fait, la question qui se pose n’est pas de savoir si l’accès à certaines données de la téléphonie et de l’Internet peut être nécessaire
pour lutter contre des crimes graves, mais si cet objectif nécessite que les données relatives au trafic des communications de l’ensemble des citoyens soient conservées systématiquement pour des périodes allant jusqu’à deux ans ?

Le contrôleur européen à la protection des données s’étonnait de voir que, 7 ans après son adoption, aucun des États membres, pas plus que la Commission européenne, n’avait démontré l’efficacité de la directive, se permettant même d’exprimer “des doutes quant au fait que des preuves convaincantes seront fournies concernant la nécessité de conserver des données à une si grande échelle” :

L’heure est venue de fournir suffisamment de preuves pour étayer cet argument. Sans ces preuves, la directive sur la conservation des données devrait être retirée ou remplacée par un instrument plus ciblé et moins invasif remplissant les exigences de nécessité et de proportionnalité.

Une “ alternative ” : l’ ”abrogation ”

Après analyse du récent rapport d’évaluation de la Commission européenne sur la directive sur la conservation des données (voir La France, championne d’Europe de la surveillance des télécommunications), le CEPD estime aujourd’hui que “la directive ne répond pas aux exigences fixées par le droit fondamental à la protection de la vie privée et des données, en particulier pour les raisons suivantes” :

la nécessité de la conservation des données telle que fixée par la directive n’a pas été clairement démontrée ; la conservation des données pourrait être réglementée de façon moins intrusive ; la directive laisse une trop grande marge de manœuvre aux Etats membres quant aux finalités pour lesquelles les données peuvent être utilisées, et sur qui peut accéder aux données et sous quelles conditions.

De fait, si la directive a initialement été adoptée aux fins de lutte contre le terrorisme, de nombreux pays l’ont étendu à bien d’autres crimes et délits, la France allant même jusqu’à l’utiliser dans le cadre de la “protection de la propriété intellectuelle“.

Trois pays (Roumanie, Allemagne et République tchèque) ont annulé leurs transpositions en droit interne de la directive “ au motif qu’elles étaient inconstitutionnelles “, la Cour suprême de la République de Chypre ayant de son côté déclaré anticonstitutionnelle l’accès aux données des personnes n’ayant pas été condamnées.

Dans le rapport (.pdf, en), plus long, consacré à cette prise de position, Peter Hustinx en arrive à la conclusion qu’ ”il est désormais clair que la directive sur la conservation des données ne peut plus continuer à exister dans sa forme actuelle “ .

Il appelle donc aujourd’hui la Commission à “ examiner plus en avant le caractère nécessaire et proportionnel de la directive, et en particulier de considérer des moyens alternatifs, moins intrusifs, pour la vie privée “, quitte à l’abroger :

Le CEPD demande à la Commission d’envisager sérieusement toutes les options possibles dans ce nouveau processus, y compris la possibilité d’abroger la directive.

Si fort soit-il, l’avis du CEPD, chargé de conseiller la Commission européenne, le Parlement européen et le Conseil “ sur les nouvelles
propositions de législation et autres initiatives ayant un impact sur le protection des données ” n’est que consultatif : “ L’objectif est de veiller à la préservation des droits fondamentaux des citoyens européens en matière de protection de la vie privée et des données personnelles “ . Quelles que soient l’ampleur des atteintes aux droits fondamentaux qu’il peut dénoncer, rien n’oblige la Commission européenne à à s’y conformer.

[Nico37]

Gendarmes et voleurs

Quand on jouait encore aux gendarmes et aux voleurs, tout l'art du gendarme était de se trouver où le voleur ne l'attendait pas, alors que celui du voleur était de de ne pas se trouver où le gendarme l'attendait.

Dans le sérieux de la vraie vie, on peut dire que c'est à peu près la même chose, la rigolade en moins...

Et la science logicielle en plus.

Un article d'Erica Goode dans le New York Times, en partie repris par Corentin Chauvel dans 20minutes, révèle, en un scoupe estival qui fleure bon le marronnier, qu'un nouvel outil informatique, actuellement expérimenté à Santa Cruz, en Californie, pourrait apporter à l'avenir d'importantes modifications dans la tagadatactique du gendarme. Il s'agit d'un programme de prédictions criminologiques permettant à la maréchaussée d'être dans les lieux où ça craint au moment même où ça se passe.

Si on admet que ce type de prémonitions pifométriques basées sur les statistiques de la criminalité courante n'est pas vraiment nouveau, on insiste bien sur la scientificité pure et dure de cette expérience (santa)cruciale.

Cela donne, chez Corentin Chauvel :

Le logiciel de Santa Cruz est en tout cas le plus sophistiqué jamais utilisé, celui-ci se basant sur les modèles de prédiction des répliques de séismes. Il génère ainsi des projections sur les lieux et les horaires où les risques de futurs crimes sont les plus forts grâce à une base de données recensant tous les délits commis par le passé. Les projections sont rééditées chaque jour en fonction des nouveaux crimes qui ont lieu dans la ville.

(Ce qui me semble être une tentative presque désespérée d'adaptation française de la prose un peu plus claire, quoiqu'étazunienne, d'Erica Goode :

But Santa Cruz’s method is more sophisticated than most. Based on models for predicting aftershocks from earthquakes, it generates projections about which areas and windows of time are at highest risk for future crimes by analyzing and detecting patterns in years of past crime data. The projections are recalibrated daily, as new crimes occur and updated data is fed into the program.)

Pour renforcer la prétention au sérieux scientifique de la chose, un lien renvoie le lecteur à une sorte de présentation en 9 diapositives qui pourrait, j'en suis sûr, faire grande impression dans les commissariats de quartier.



Tout à fait convaincant, non ?

Pour ceux qui évoqueraient en ricanant les inénarrables spots publicitaires pour les pâtes dentifrices traquant la plaque dentaire jusque dans les coins - souvenez-vous de ces superbes séquences où un bellâtre au sourire éclatant et en blouse blanche commente la courbe d'évolution des populations de bactéries bouffeuses d'émail tout au fond de nos cavités buccales -, on précisera que ce programme a été mis au point par un solide groupe de chercheurs, comprenant deux mathématiciens, George Mohler et Martin Short, un anthropologue, Jeff Brantingham, et un criminologue, George Tita. Il n'y a peut-être pas lieu de cesser de ricaner, car cela soulage, mais on admettra qu'il y a là de quoi impressionner ceux des lecteurs qui ont la religion de la science...

Et pour ceux qui adhèrent avant tout à la culture du résultat, on soulignera que, "utilisé pour des vols de voitures mais également des cambriolages de maison, le programme a permis la prévention de plusieurs crimes et l’arrestation de cinq personnes" et, surtout, que la police de Santa Cruz "a recensé une baisse de 27% de cambriolages en un mois (par rapport à juillet 2010)".

Les truands n'ont pas encore mis au point leur propre logiciel prédictif, semble-t-il...



On distingue ici quelques endroits où des cambriolages n'ont pas eu lieu.

Les responsables de la police américaine, cités par Erica Goode, ont l'air très contents de ce logiciel très scientifique et semblent persuadés que son expérimentation est d'ores et déjà, après un mois et demi, un remarquable succès...

A la fin de son article, elle donne la parole à un certain Scott Dickson qui fait profession de "crime analyst" à Killeen, au Texas. Il estime que les programmes permettant de prévoir, et donc de prévenir, les délits sont, d'une certaine manière, des extensions assez naturelles des techniques couramment utilisées par des firmes comme Wal-Mart pour prévoir les habitudes consuméristes des clients qui fréquentent leurs magasins.

Voilà qui, en dégonflant quelque peu le baratin présentant le programme de Santa Cruz comme une géniale adaptation des modèles de prévision des répliques sismiques, éclaire un peu mieux la source d'inspiration des deux mathématiciens-tâcherons qui ont travaillé à son élaboration...

Et, bien sûr, cela amène à penser que, dans un avenir assez proche, le logiciel pourra indiquer à quelle heure et en quel lieu se présentera le futur délinquant, en précisant sa taille, son genre et, évidemment, la couleur de sa peau.

PS : J'ignore si ces techniques de pointe font partie du fameux "savoir-faire" français. A tout hasard, j'ai lancé l'un des plus brillants de mes anciens élèves, actuellement sans emploi, dans une recherche analogue, en lui suggérant de transposer le modèle de l'étude diagnostique des arythmies cardiaques - monsieur Guéant, à qui nous comptons proposer nos résultats, devrait y être sensible - dans le domaine de la prédiction criminologique.