Surveillance généralisée, Big Brother

[Nico37]

LOPPSI et vidéoprotection : quelles nouveautés, quels changements pour la CNIL ?

La loi d'orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI) a grandement modifié le régime juridique relatif à la vidéoprotection. Certaines de ces modifications concernent directement la CNIL : en particulier, elle est désormais compétente pour contrôler les systèmes de vidéoprotection, qu'ils soient installés sur la voie publique ou dans des lieux ouverts au public, ce qu'elle réclamait depuis de nombreuses années. La LOPPSI, promulguée le 14 mars 2011 à la suite de la décision du Conseil constitutionnel du 10 mars 2011, contient de nombreuses dispositions relatives à l'utilisation de nouvelles technologies informatiques dans le domaine de la sécurité ou aux fichiers de police. Elle modifie également en profondeur le régime juridique relatif à la vidéoprotection. L'un des changements majeurs apportés par la LOPPSI est l'attribution de nouvelles compétences de contrôle à la CNIL. Celle-ci dispose dorénavant d'un pouvoir de contrôle de tous les dispositifs de vidéoprotection installés sur le territoire national, y compris ceux installés sur la voie publique, qui relèvent de la loi du 21 janvier 1995. Elle peut également mettre en demeure les responsables de ces systèmes si elle constate des manquements aux
obligations qui s'imposent à eux (information du public, respect de la durée de conservation des enregistrements, limitation des destinataires des images,
etc.). Elle peut enfin proposer au préfet d'ordonner des mesures de suspension ou de suppression du système contrôlé. Ces nouvelles compétences étaient
réclamées depuis 2008 par la CNIL. Elle a notamment rappelé, dans sa note d'observation sur le projet de LOPPSI, la nécessité du contrôle par un organisme indépendant, des dispositifs de vidéoprotection. Le contrôle des surveillants constitue en effet une exigence fondamentale pour asseoir la légitimité de ces systèmes dans le respect des droits et libertés des citoyens. La CNIL se mobilise déjà pour faire pleine application de ces nouvelles dispositions : 150 contrôles ont été programmés, pour la seule année 2011 et sur l'ensemble du territoire national, sur les dispositifs de vidéoprotection. Ils permettront d'avoir une vision générale des modalités de mise en œuvre de ces systèmes. La CNIL réunit différents atouts qui sont essentiels pour exercer ce type de contrôles. En effet, elle jouit de réelles garanties d'indépendance, bénéficie d'une longue pratique des problématiques liées à la vidéoprotection et dispose d'un corps de contrôleurs de métier (juristes et ingénieurs). La LOPPSI apporte d'autres changements relatifs à l'encadrement juridique de la vidéoprotection. Des nouvelles finalités Les finalités pour lesquelles la voie publique et les lieux ouverts au public peuvent être placés sous vidéoprotection ont été étendues aux fins : de prévention du trafic de stupéfiants, de risques naturels et technologiques, de secours aux personnes, de lutte contre les incendies. Des nouveaux destinataires De nouveaux destinataires des enregistrements visuels (services des douanes et de secours) peuvent désormais être prévus par l'autorisation préfectorale préalable à l'installation de systèmes de vidéoprotection. Elle a également prévu un nouveau pouvoir du préfet, qui peut désormais inciter une commune, sous certaines conditions, à s'équiper aux fins de prévention du terrorisme. Par ailleurs, elle a autorisé la transmission aux forces de l'ordre (services de la police et de la gendarmerie nationales, éventuellement agents de police municipale) des images des parties communes des immeubles collectifs, lorsque les circonstances font redouter une atteinte imminente aux biens ou aux personnes. Une telle transmission est cependant conditionnée par une décision préalable de la majorité des copropriétaires, et doit être limitée au temps nécessaire à l'intervention des services. Enfin, la LOPPSI a doté la Commission nationale de la vidéoprotection (CNV) d'un fondement législatif. Celle-ci exercera une mission générale de conseil et d'évaluation de l'efficacité de la vidéoprotection. A ce titre, elle pourra émettre des recommandations au ministre de l'intérieur, et se saisir d'office de toute difficulté tenant au fonctionnement d'un système de vidéoprotection. Un membre de la CNIL siègera au sein de cette commission.

[Nico37]

Les sociétés de sécurité privée prennent de l'ampleur De Cyril TOUAUX (AFP)

PARIS — A l'heure des réductions d'effectifs dans la police et la gendarmerie, les sociétés de sécurité privée sont en pleine expansion, faisant craindre à certains une privatisation rampante de la sécurité.
Vigiles, maîtres-chiens, agents chargés des fouilles dans les aéroports, stadistes, le secteur de la sécurité privée ne s'est jamais aussi bien porté, avec une croissance moyenne par an de près de trois pour cent.
Selon des chiffres syndicaux, entre 160.000 et 170.000 personnes travaillent actuellement dans le secteur de la sécurité privée alors que les effectifs cumulés police et gendarmerie plafonnent à près de 240.000. Selon des experts, d'ici dix ans, la parité pourrait être atteinte.
"C'est un phénomène qui nous inquiète énormément, assure à l'AFP le secrétaire général d'USGP-Force ouvrière Police, Nicolas Comte. On a vraiment l'impression qu'on va vers un partage territorial entre la police et les sociétés privés".
Le projet de la Loi d'Orientation de Programmation pour la Performance de la Sécurité intérieure, qui doit passer le 14 décembre en deuxième lecture à l'Assemblée nationale, tente de mieux encadrer cette activité. Le texte prévoit notamment la création d'un Conseil national des activités de la sécurité privée et une intensification des contrôles pour la délivrance d'une carte professionnelle.
"On fait ça pour permettre aux entreprises de prendre plus de marché. Leur but ce n'est pas l'intérêt général, c'est de faire de l'argent", regrette Nicolas Comte.
Cette place de plus en plus grande accordée aux sociétés privées de sécurité est en tout cas un virage assumé. Le président Nicolas Sarkozy avait évoqué fin 2008 la "coproduction" en matière de sécurité. Un délégué interministériel à la sécurité privée, Jean-Louis Blanchou, a d'ailleurs été nommé en septembre pour coordonner l'action des services de l'Etat et celle des entreprises de sécurité.
Dans un communiqué samedi, le syndicat Alliance (second syndicat de gardiens de la paix) a dit être "très favorable" à cette coproduction. Selon lui, il faut "recentrer les policiers et les gendarmes sur leur coeur de métier", à savoir "sécurité publique, ordre public, police judiciaire et renseignement". Les autres missions doivent "être transférées à d'autres acteurs de la sécurité".
En pleine période de restriction budgétaire, de baisse des effectifs, le recours au privé possède un atout non négligeable. "Cela coûte moins cher", explique un responsable syndical.
Les missions régaliennes, comme le transfèrement des prisonniers, ou les fouilles, restent assumées par des fonctionnaires de police. "C'est trop tôt" pour les confier au privé, assure Patrice Ribeiro, secrétaire général de Synergie Officiers. Selon lui, "il faut d'abord clarifier et réguler le secteur".
"Il faut accepter le principe de réalité. Est-ce que, dans un centre commercial, il faut mettre des agents de sécurité ou des policiers ?", s'interroge Patrice Ribeiro.
Les syndicats de police réclament la fin des "tâches indues". "On ne peut pas réclamer le désengagement des policiers pour les tâches indues, comme le font certains, et regretter ensuite que des sociétés s'en occupent", relève le criminologue Alain Bauer.
Claude Tarlet, président de l'USP, principal syndicat des entreprises de sécurité privées, voit dans le développement de son secteur la preuve de "l'incapacité de l'Etat à faire face à des dépenses publiques", à quoi s'ajoute une demande exponentielle de sécurité de la population ces dernières années.
Les craintes sont "légitimes", assure Claude Tarlet. Mais, selon lui, "les entreprises de sécurité privée n'interviennent absolument pas dans des tâches qui sont celles de l'Etat".

[Nico37]

Les réseaux sociaux au service de la société de surveillance

Un smartphone, ça sert à prendre ton cousin en photo à sa soirée d'anniversaire pour la mettre sur Facebook. Ça sert aussi à mettre en ligne des images de hooligans en fureur pour essayer de les identifie.

http://owni.fr/2011/06/23/les-reseaux-s ... veillance/

[Nico37]

LOPPSI et vidéoprotection : quelles nouveautés, quels changements pour la CNIL ? 26 avril 2011

La loi d'orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI) a grandement modifié le régime juridique relatif à la vidéoprotection. Certaines de ces modifications concernent directement la CNIL : en particulier, elle est désormais compétente pour contrôler les systèmes de vidéoprotection, qu'ils soient installés sur la voie publique ou dans des lieux ouverts au public, ce qu'elle réclamait depuis de nombreuses années.

La LOPPSI, promulguée le 14 mars 2011 à la suite de la décision du Conseil constitutionnel du 10 mars 2011, contient de nombreuses dispositions relatives à l'utilisation de nouvelles technologies informatiques dans le domaine de la sécurité ou aux fichiers de police. Elle modifie également en profondeur le régime juridique relatif à la vidéoprotection.

L'un des changements majeurs apportés par la LOPPSI est l'attribution de nouvelles compétences de contrôle à la CNIL. Celle-ci dispose dorénavant d'un pouvoir de contrôle de tous les dispositifs de vidéoprotection installés sur le territoire national, y compris ceux installés sur la voie publique, qui relèvent de la loi du 21 janvier 1995. Elle peut également mettre en demeure les responsables de ces systèmes si elle constate des manquements aux obligations qui s'imposent à eux (information du public, respect de la durée de conservation des enregistrements, limitation des destinataires des images, etc.).
Elle peut enfin proposer au préfet d'ordonner des mesures de suspension ou de suppression du système contrôlé.

Ces nouvelles compétences étaient réclamées depuis 2008 par la CNIL. Elle a notamment rappelé, dans sa note d'observation sur le projet de LOPPSI, la nécessité du contrôle par un organisme indépendant, des dispositifs de vidéoprotection. Le contrôle des surveillants constitue en effet une exigence fondamentale pour asseoir la légitimité de ces systèmes dans le respect des droits et libertés des citoyens.

La CNIL se mobilise déjà pour faire pleine application de ces nouvelles dispositions : 150 contrôles ont été programmés, pour la seule année 2011 et sur l'ensemble du territoire national, sur les dispositifs de vidéoprotection. Ils permettront d'avoir une vision générale des modalités de mise en œuvre de ces systèmes. La CNIL réunit différents atouts qui sont essentiels pour exercer ce type de contrôles. En effet, elle jouit de réelles garanties d'indépendance, bénéficie d'une longue pratique des problématiques liées à la vidéoprotection et dispose d'un corps de contrôleurs de métier (juristes et ingénieurs).

La LOPPSI apporte d'autres changements relatifs à l'encadrement juridique de la vidéoprotection.

Des nouvelles finalités

Les finalités pour lesquelles la voie publique et les lieux ouverts au public peuvent être placés sous vidéoprotection ont été étendues aux fins :
de prévention du trafic de stupéfiants,
de risques naturels et technologiques,
de secours aux personnes,
de lutte contre les incendies.

Des nouveaux destinataires

De nouveaux destinataires des enregistrements visuels (services des douanes et de secours) peuvent désormais être prévus par l'autorisation préfectorale préalable à l'installation de systèmes de vidéoprotection. Elle a également prévu un nouveau pouvoir du préfet, qui peut désormais inciter une commune, sous certaines conditions, à s'équiper aux fins de prévention du terrorisme.

Par ailleurs, elle a autorisé la transmission aux forces de l'ordre (services de la police et de la gendarmerie nationales, éventuellement agents de police municipale) des images des parties communes des immeubles collectifs, lorsque les circonstances font redouter une atteinte imminente aux biens ou aux personnes. Une telle transmission est cependant conditionnée par une décision préalable de la majorité des copropriétaires, et doit être limitée au temps nécessaire à l'intervention des services.

Enfin, la LOPPSI a doté la Commission nationale de la vidéoprotection (CNV) d'un fondement législatif.

Celle-ci exercera une mission générale de conseil et d'évaluation de l'efficacité de la vidéoprotection. A ce titre, elle pourra émettre des recommandations au ministre de l'intérieur, et se saisir d'office de toute difficulté tenant au fonctionnement d'un système de vidéoprotection. Un membre de la CNIL siègera au sein de cette commission.

[Nico37]

Semaine de la paranoïa ordinaire

Aujourd'hui, nos confrères de CNIS Mag, magazine spécialisé dans la sécurité des systèmes d'information, pointent du doigt les angoisses sécuritaires qui semblent hanter les pages du Web : Apple et son iOS qui épit, le Wifi du métro de Londres qui sert de canal de communication pour les cyber-terroristes, les « drop-box » vecteurs de virus et enfin les dernières mesures de la Commission Hadopi. Une vague de paranoïa, jugent alors nos confrères. Ils terminent en donnant un coup de projecteur sur un trafic de pièces de monnaies « reconstituées », entre la Chine et l’Allemagne, et sur la fragilité du « dé-commissionnement ».

Sommaire
1 - Première minute de paranoïa ordinaire
2 - Seconde minute de paranoïa ordinaire
3 - Troisième minute de paranoïa ordinaire
4 - Hadopi : perte de confidentialité des correspondances privées …
5 - Hacking des poubelles : Chine 1, Allemagne 0

1 - Première minute de paranoïa ordinaire

Enfer et damnation : Apple enregistre le moindre des déplacements de ses clients sous IOS. La preuve en image et en code grâce à iPhone Tracker, le logiciel open source (et non béni par Jobs) capable d’extraire cette accumulation de données de manière lisible. Car les coordonnées des gadgets Apple seraient enregistrées en permanence grâce à une application discrètement glissée dans le noyau, et les données collectées seraient même sauvegardées avec les données… Histoire probablement de faciliter le retour de l’appareil au bercail en cas de vol. Apple pense toujours à nous. La presse anglo-saxonne en général et londonienne en particulier s’en émeut. Diable, un flicage de plus en ce pays qui compte presque autant de caméras de surveillance que d’habitants, voilà qui fait déborder la coupe de sauce à la menthe.
Quelles sont les raisons purement marketing qui ont poussé Apple à se montrer encore plus indiscret qu’une GoogleCar WiFi ? Et surtout combien encore « d’easter Eggs » d’un tel calibre reste-t-il à découvrir dans les iPhones, iPads, Apple TV et autres appareils passés, présents et futurs ? Enfin, cet ennemi juré de l’empire Microsoft, qui, des décennies durant, a observé les travers et les techniques de son adversaire, semble avoir oublié la virulence avec laquelle l’ennemi en question a été conspué chaque fois qu’il tentait d’ajouter une routine de « traçage », un accessoire « antipiratage » ou un prétendu accessoire de sécurité un peu trop intrusif. Tant qu’Apple était soutenu par une secte d’adorateurs inconditionnels, ce genre d’indélicatesses pouvait encore être accepté. Mais depuis que la maison des « deux Steeve » s’est engagée dans la vente de biens de consommation grand public, elle ne peut plus compter sur l’adoration béate de sa clientèle et doit « faire avec » le regard critique des consommateurs normaux.

2 - Seconde minute de paranoïa ordinaire

La BBC nous apprend une chose horrible, une chose absolument abominable, une chose… comment la décrire avec objectivité sans en éprouver une terreur irrépressible ? En bref, le métro londonien déploie des bornes d’accès WiFi gratuites. Que les âmes sensibles nous pardonnent, mais il faillait que les lecteurs de CNIS soient prévenus de cette incroyable nouvelle. Bien sûr, de brillants experts ont immédiatement réagi, en signalant que grâce à ces bornes d’accès, les terroristes pourront établir des communications avec leur base à l’aide de logiciels VoIP, que lesdites bornes d’accès pourraient également être utilisées pour déclencher à distance une bombe à fragmentation thermonucléaire et double arbre à came en tête. Ce que n’aurait certainement pas pu faire un simple téléphone GSM, car les « experts » londoniens en savent toujours plus. Pis encore, cette technologie permettra aux terroristes « d’utiliser leurs ordinateurs portables en guise de téléphone cellulaire » et ainsi faciliter le travail d’un « groupe terroriste du métropolitain ». Ça, c’est de l’Insider Underground New Wave comme on n’en a jamais connu. Et ceci sans tenir compte de la délinquance quotidienne que faciliterait un tel réseau : ce réseau WiFi, affirment les experts es-paranoïa, encouragerait les mécréants épandeurs de chevaux de Troie et utilisateurs intensifs de logiciels d’interception des communications, leur facilitant le travail et leur offrant chaque jour une manne de données à voler sur les ordinateurs portables des usagers réguliers, allant, jusque dans leurs bras, voler leurs données bancaires. Après l’APT, pour Advanced Persistant Threat, voilà l’APT, pour Abnormal Paranoïa in the Tube.

3 - Troisième minute de paranoïa ordinaire

Cette poussée de paranoïa-là nous vient d’un billet amusé rédigé par François Paget de l’Avert. Un billet sur la multiplication des fameux « drop box » ou boîtes à lettres mortes, ces clefs USB noyées dans le ciment des murs et qui offrent au passant tantôt un programme utile, tantôt l’œuvre complète de Balzac, tantôt un morceau de musique en Creative Commons… Ces boîtes d’échanges utopistes, estiment quelques experts anxieux (anxiété qui n’affecte pas particulièrement François Paget), pourraient servir de dépôt de fichiers pour le compte d’organisations terroristes. On ne prête qu’aux riches. Dans le meilleur des cas, ces USB bétonnées se transformeraient en vecteurs d’infection après compromission, touchant telle une peste rouge tous les ordinateurs coupables de connexion vagabonde. Monsieur Paget possède une grande âme et fait preuve d’une gentillesse infinie… car d’autres ne se seraient pas gênés pour « balancer » les noms et titres de ces cassandres d’opérette. Un terroriste même particulièrement obtus et peu instruit n’a pas besoin de lire les avis de ces « experts » pour comprendre qu’il est préférable pour lui d’utiliser ses propres clefs USB et de les coller avec une simple bande adhésive sous le banc d’un parc, de les camoufler dans une poubelle publique au milieu de détritus divers, bref, de la transmettre de manière toute rationnelle comme l’aurait fait un Burguess, un Philby, un Hansen, un Ames ou la famille Walker. Car quel terroriste ayant plus de deux neurones en état de se connecter utiliserait un moyen de communication dont chaque « drop box » se trouve cartographiée sur Google Maps ? Quant à utiliser une « boîte à lettres » pour propager un virus, c’est là une idée tellement inefficace qu’elle n’a pu sortir que de l’esprit d’un éditeur d’antivirus en quête de nouveaux marchés.

4 - Hadopi : perte de confidentialité des correspondances privées …

La quatrième minute de paranoïa ordinaire nous est offerte par nos confrères de Tom’s Guide, qui sont parmi les premiers à annoncer les récentes décisions techniques de la Commission Hadopi : les « chasseurs de pirates » viennent de faire passer légalement la possibilité d’intégrer dans chaque « box » d’opérateur un logiciel de tenue de log enregistrant les moindres faits et gestes des internautes, fichier pouvant être, sur simple suspicion, consultable à distance par n’importe quelle organisation privée à but lucratif (alias un « ayant droit »).
Avec cette nouvelle feuille de route, la Commission Hadopi est parvenu à rendre caduque une vieille idée démocratique qui remonte à 1789, celle
de la confidentialité des correspondances privées. Bien sûr, cette mesure n’affectera en aucune manière les pirates « industriels » qui, depuis belle lurette, utilisent des clients P2P externalisés à l’étranger et s’y connectent par le biais de VPN solidement chiffrés. Un détail technique qu’aucun membre de la commission ne peut ignorer, ce qui laisse clairement entendre que ces histoires de piratage ne sont qu’un prétexte futile.

Par le plus grand des hasards, la Haute Court de Justice de Sa Gracieuse Majesté (celle qui marie son petit-fils) vient au même moment de rendre son oukaze obligeant British Telecom et un autre fournisseur d’accès à Internet, TalkTalk, à bloquer eux-mêmes les contenus jugés illégaux. Et ce malgré les nombreux appels et recours effectués par les deux FAI. En Bretagne Grande, le Digital Economy Act soutenu par quelques éditeurs de musique a permis au Ministère de l’Intérieur d’établir un filtrage efficace sans pour autant avoir eu à invoquer des prétextes tels que la lutte anti-terroriste, un peu trop éculé et surexploité de l’autre côté du Channel.

5 - Hacking des poubelles : Chine 1, Allemagne 0

Le magazine Der Spiegel nous entraîne dans une fantastique carambouille, celle des « véritables faux Euros Chinois ».

Chaque année, expliquent nos confrères, des tonnes de pièces de monnaie sont retirées de la circulation, trop usées ou trop abîmées pour continuer leur vie fiduciaire. Des pièces qui sont passées au pilon, et dont les déchets sont revendus au poids du métal au « mieux offrant », fût-il non européen.

Or, il semblerait que ce passage au pilon ne faisait que séparer les parties centrales et périphériques des pièces bimétalliques de 1 et 2 euros… ce qui inspira immédiatement un acheteur de « pièces détachées » de l’Empire du Milieu, lequel se spécialisa dans la reconstitution de ces moins que monnaies (ou sous-sous) en véritable sur-argent sonnant et trébuchant. Encore fallait-il trouver acheteur faisant bon accueil pour ces écus éculés (un ECU étant une European Currency Unit). C’est là qu’entre en scène la Banque Fédérale d’Allemagne, la seule acceptant d’échanger de vieux sequins non pas contre de vieille cuirasse, mais pour une contrevaleur en Euros frais.

Le plus étonnant, c’est que cette pratique durera de 2007 à 2010, période durant laquelle 29 tonnes de ferraille ont été rachetées au prix fort, soit une perte sèche de 6 millions d’Euros pour la Banque Fédérale d’Allemagne. Pour éviter toute possibilité de suspicion, les asiates ferrailleurs employaient des « mules » Teutonnes, généralement des employés de compagnies aériennes telles que Lufthansa, qui jouaient les porteurs de valises entre Pékin et Bonn. Ce qui, au passage, réalisait une certaine économie sur le transport des effets. C’est précisément le poids anormal des valises desdites mules volantes qui a provoqué la suspicion des gabelous germaniques et conduit à la découverte du pot aux roses… ou du pot à oseille devrait-on dire.

Monnaies ou ordinateurs, l’art de « dé-commissionner » un bien ou un équipement dépend à la fois des techniques de destruction ou de reconditionnement employées ainsi que des acheteurs potentiels du produit neutralisé. L’on a longtemps glosé sur les disques durs et les photocopieuses bradées sur eBay et dont le contenu pouvait s’avérer très indiscret s’il tombait entre de mauvaises mains. Mais personne n’aurait pu imaginer que nos chers, très chers (au moins 6 millions d’Euros pour le coup) Eurocrates et überbankers ne soient jamais allés au cinéma et n’aient vu l’un de ces navets rocambolesques parlant de billets périmés volés puis réinjectés dans le circuit. De telles histoires mettant en scène des Grands Argentiers sûrs de leurs faits et dogmatiques en diable expliquent peut-être un peu mieux des affaires comme celle des « APT de Bercy ».

[Nico37]

Conservation des données : les détails exclusifs du recours d’Internet Sans Frontières par Diane Saint Réquier

Nous vous en parlions la semaine dernière, l’association Internet Sans Frontières a déposé un recours en excès de pouvoir (.pdf) devant le Conseil d’Etat pour faire annuler le décret n°2011-219 imposant aux FAI de conserver les données personnelles de leurs clients sur une durée d’un an. La juriste Tris Acatrinei qui a aidé le président de l’organisation, Christophe Ginisty, à rédiger ce recours nous a fait parvenir l’intégralité du texte contenant le détail des irrégularités du décret. Quid du « consentement libre, spécifique et informé » ?

Dans un premier temps, le recours soulève une irrégularité qu’on pourrait qualifier de bureaucratique, mais le recours va crescendo dans la gravité des failles relevées. Ainsi, la seconde partie du recours d’Internet Sans Frontières met en lumière les nombreuses illégalités qui apparaissent dans le décret. Plusieurs points lacunaires sont relevés dans le texte paru le 1er mars au J.O. D’abord, il n’y est pas question du consentement des internautes à l’enregistrement de leurs données, qui devrait, selon le droit européen être « libre, spécifique et informé ». Ensuite, « aucune autorité indépendante de contrôle n’a été mandatée ni n’est mentionnée », ce qui constitue également une violation d’une directive européenne. Quelle justification ?

Troisième point qui fâche : normalement, « les Etats membres souhaitant limiter la portée du principe d’effacement et d’anonymisation des données, doivent justifier d’une mesure nécessaire, appropriée et proportionnée pour des raisons spécifiques d’ordre public, de défense et de sécurité » ce qui n’est pas vraiment le cas du décret qui ordonne aux FAI d’enregistrer « pour chaque connexion de leurs abonnés ». S’ensuivent d’autres violations des directives communautaires, de la jurisprudence de la Cour de Justice de l’Union Européenne et de la jurisprudence du Conseil d’Etat (un comble puisque c’est celui-ci qui a rédigé le texte). Et le réquisitoire se termine sur un point technique mais pertinent : pour le stockage des données, l’hypothèse d’une sous-traitance n’a pas été envisagée alors qu’il pourrait s’agir d’une nécessité pour les FAI mais d’un risque sérieux pour le respect de la vie privée. Le recours a été déposé vendredi et Internet Sans Frontières, Christophe Ginisty et Tris Acatrinei attendent désormais le récépissé qui arrivera bien avant l’avis rendu par le Conseil d’Etat (dans 8 ou 9 mois).
Trois issues sont désormais envisageables. Le Conseil d’Etat peut rejeter le recours, annuler le décret ou soulever une question préjudicielle auprès du juge communautaire. Cette dernière possibilité reviendrait à laisser l’Europe décider de la légalité du texte qui serait gelé en attendant le verdict.

[Nico37]

Géolocalisation et collecte d'informations issues des points d'accès wi-fi : les règles à respecter pour protéger la vie privée

Géolocalisation et collecte d'informations issues des points d'accès wi-fi : les règles à respecter pour protéger la vie privée 05 mai 2011

Les informations issues de points d’accès WiFi sont utilisées pour fournir des services de géolocalisation. Ces données sont des données à caractère personnel. Leur collecte et leur utilisation sont donc soumises à la loi "informatique et libertés". La CNIL a récemment dégagé des bonnes pratiques afin de protéger la liberté d’aller et venir anonymement des possesseurs de Smartphones

Les points d’accès WiFi, qui équipent la plupart des "box Internet", émettent en permanence des signaux permettant à des ordinateurs ou à des téléphones mobiles de les reconnaître et de s’y connecter. Ces signaux contiennent souvent un identifiant de réseau appelé SSID, qui peut être choisi par le fabricant du point d’accès ou personnalisé par l’utilisateur. Ces signaux contiennent également un numéro appelé BSSID qui identifie chaque point d’accès de manière unique. Cette caractéristique peut être utilisée pour créer un service de géolocation pour les téléphones mobiles de dernière génération (les smartphones). Pour cela il faut disposer d’une carte qui recense la position de chaque point d’accès WiFi identifié par son BSSID. Ensuite, lorsque le téléphone mobile détecte un ou plusieurs points d’accès WiFi à
proximité, il suffit de consulter cette carte pour en déduire par comparaison sa position. Cette méthode de géolocalisation présente l’avantage de fonctionner avec des téléphones ne disposant pas de GPS ou lorsque le signal GPS n’est pas disponible, notamment à l’intérieur d’un bâtiment.

Pour fournir des services de géolocalisation, plusieurs sociétés telles que Google, Skyhook Wireless, Microsoft et Apple ont donc constitué des bases cartographiques recensant les points d’accès WiFi. Ces bases ont été créées de deux manières complémentaires :

à partir de données WiFi collectées par des véhicules se déplaçant dans les rues des villes et sur les principaux axes routiers ; à partir des données transmises par les téléphones mobiles eux-mêmes lorsqu’ils demandent à être géolocalisés.

La CNIL rappelle que l’association de données permettant d’identifier un point d’accès WiFi avec des données de géolocalisation est de nature à permettre l’identification d’une personne indirectement ou directement (par exemple lorsque son nom apparait dans le SSID). Il s'agit dont d'une donnée à caractère personnel au sens de la loi. Pour la création d’une base cartographique de points d’accès WiFi,

la CNIL considère que :

dans la mesure où cette base cartographique fait appel à des moyens de traitements tels que des téléphones mobiles ou des véhicules situés sur le territoire français, ce traitement doit être déclaré à la CNIL ;
l’information individuelle préalable des possesseurs de points d’accès WiFi n’est pas exigée, en raison des efforts disproportionnés qu’elle demanderait (exception prévue par l'article 32-III de la loi) ;
les possesseurs de points d’accès Wifi doivent être néanmoins informés de leurs droits, sur un site internet dédié par exemple ; les possesseurs de points d’accès Wifi doivent disposer d’un droit d’opposition à la collecte d’informations relatives à leur point d’accès WiFi ;
La conservation des données de localisation associées à un point d’accès WiFi ne devrait pas dépasser 5 ans.

Par ailleurs, la CNIL attire l’attention sur le fait que l’utilisation de services de géolocalisation peut porter atteinte à la vie privée, et en
particulier à la liberté d’aller et venir anonymement. En effet, lorsqu’une personne demande que son téléphone soit géolocalisé, le gestionnaire de la base cartographique WiFi peut être amené à collecter et conserver un identifiant unique propre à son téléphone, associé à sa position géographique grâce aux points d’accès Wi-Fi détectés à proximité.

Si le possesseur du téléphone formule régulièrement des demandes de localisation ou si une application installée sur son mobile effectue ce type de demande, ses déplacements peuvent être connus par le gestionnaire de la base cartographique. La CNIL rappelle que même en l’absence de données nominatives, la connaissance d’un historique de géolocalisation peut suffire à identifier une personne de manière unique, par exemple en localisant son domicile. Concernant la géolocalisation sur téléphone mobile,

la CNIL préconise la mise en œuvre des bonnes pratiques suivantes :

si un identifiant unique est attribué au téléphone par le gestionnaire de la base cartographique, celui-ci doit être aléatoire et conservé 24 heures au maximum, sauf démonstration de la nécessité d’une durée plus longue. Dans ce cas, le consentement des personnes est exigé. Cet identifiant unique ne doit pas pouvoir être associé à un autre identifiant propre à l’utilisateur ou au téléphone ; les personnes doivent être informées de manière transparente des finalités du traitement et des données collectées, ainsi que de leurs droits. En particulier, l’information doit préciser très clairement les données collectées par le téléphone, celles transmises au gestionnaire de base cartographique, anonymes ou non, et celles susceptibles d’être transmises à des tiers ; l’utilisateur doit pouvoir supprimer les données de localisation qui le concernent, qu’elles soient stockées sur son téléphone, détenues par le gestionnaire de base cartographique ou par toute autre application tierce.

L’actualité récente illustre le risque de suivi des utilisateurs de services de géolocalisation. La Commission invite donc l’ensemble des acteurs à respecter ces "bonnes pratiques" et à se rapprocher d’elle pour de plus amples informations.

Afin de garantir l’existence d’une société où l’utilisation d’un smartphone n’est pas synonyme de surveillance permanente, la CNIL discute depuis plusieurs mois avec différentes multinationales à ce sujet. Elle se réserve également la possibilité de recourir à l’ensemble des pouvoirs que lui a conférés le législateur. Ainsi, elle envisage de contrôler et de sanctionner les sociétés qui porteraient atteinte à la vie privée des possesseurs de smartphones.

[Nico37]

La France, championne d’Europe de la surveillance des télécommunications par Jean Marc Manach Le 11 mai 2011

Le taux d'élucidation du à la conservation des données de connexion (les "logs") ? 0,011%, selon la police allemande. Considérée comme une "atteinte massive à la vie privée", son utilisation pourrait être limitée.

Qui a téléphoné ou envoyé un mail à qui, quand, d’où, pendant combien de temps? Accéder au contenu des télécommunications, c’est bien, mais plutôt encadré, et donc compliqué à obtenir. Accéder au contenant de ces mêmes télécommunications, c’est beaucoup plus facile, et souvent tout aussi parlant.

La preuve : avec 514 813 demandes d’accès en 2009 aux données de trafic conservées par les opérateurs de téléphonie fixe ou mobile, et les
fournisseurs d’accès à l’internet, contre 503 437 en 2008, la France est championne d’Europe! Elle occupe la première place pour ce qui est de
l’exploitation des “logs“, également nommées “données de trafic“, ou “données de connexion“, encore plus intrusives que ne le sont les désormais célèbres “FaDet” (pour “factures détaillées“). Toutes ces demandes étant faites par des OPJ dans un cadre judiciaire.

Le Royaume-Uni arrive en seconde position, avec 470 222 demandes d’accès, loin devant la Lituanie (85 315), les Pays-Bas (85 000) ou encore l’Espagne (53 578), l’Allemagne n’en dénombrant de son côté “que” 12 684 (pour 81,5 millions d’habitants). Comme le soulignait ce matin Le Canard enchaîné, “en bonne logique, le territoire de nos voisins allemands devrait être livré à la terreur et à la dévastation“.

Ces chiffres de la Commission européenne, publiés en annexe du Rapport d’évaluation concernant la directive sur la conservation des données (.pdf), contrastent très fortement avec ceux dont on disposait jusqu’alors. Deux sources ont récemment livrés des estimations très inférieures :
Le Figaro soulignait ainsi récemment que le nombre d’écoutes téléphoniques était passé de 5 845 en 2001 à 35 000 aujourd’hui, mais qu’il n’y aurait eu “que 500 interceptions sur Internet alors que le besoin en France est dix fois supérieur“. La Commission nationale de contrôle des interceptions de sécurité (CNCIS) qui, en 2008 et pour les seules enquêtes relatives à l’antiterrorisme, avaient recensé 34 911 d’accès aux “données techniques” en 2008, et 39 070 en 2009.

Conclusion logique: 93% des demandes d’accès concernent donc des enquêtes autres que terroristes.

De la lutte antiterroriste aux atteintes à la propriété intellectuelle

C’est pourtant le terrorisme qui est à l’origine de cette législation. Le dispositif a été introduit, en France, suite aux attentats du 11 septembre 2001, afin d’obliger les fournisseurs d’accès à internet (FAI) à garder la trace, pendant un an, de tout ce que font les internautes sur les réseaux.

Adoptée en 2006 en réaction aux attentats de Madrid et de Londres, la directive sur la conservation des données a quant à elle élargi le dispositif à “la recherche, la détection et la poursuite d’infractions pénales graves“, ainsi qu’aux opérateurs de téléphonie et non plus seulement d’internet, afin de les “contraindre à conserver les données relatives au trafic et les données de localisation pendant une durée comprise entre six mois et deux ans“. Sont concernées les données mentionnant :

La source, la destination, la date, l’heure, la durée et le type de communication, ainsi que le matériel de communication des utilisateurs et, dans le cas de la téléphonie mobile, des données relatives à la localisation de l’équipement.

Cette directive constitue “sans aucun doute l’instrument le plus préjudiciable au respect de la vie privée jamais adopté par l’Union européenne eu égard à son ampleur et au nombre de personnes qu’elle touche“, a récemment déclaré (.pdf) le contrôleur européen à la protection des données, qui dénonce cet espionnage généralisé de nos télécommunications. Une situation qui pourrait changer, nombreux étant ceux qui, en Europe, plaident pour une révision de la directive.

Le rapport de la Commission relève à ce titre que “la plupart des États membres qui ont transposé la directive autorisent, dans leur législation,
l’accès aux données conservées et leur utilisation pour des finalités dépassant celles couvertes par la directive“. La France est ainsi le seul pays à préciser que la conservation des données vise tout à trac “la prévention d’actes de terrorisme et la protection de la propriété intellectuelle” :

Explication de la “limitation des finalités de la conservation des données dans le droit national”

A en croire le tableau comparatif de la Commission, la France est le seul pays à mentionner ainsi explicitement la “protection de la propriété
intellectuelle“. Les autres évoquent successivement:

“les missions des services de renseignement et de sécurité” (Belgique) de “lutte contre la corruption, de contre-espionnage et de renseignement militaires” (Pologne) les infractions “graves” (Chypre) “très graves” (Lituanie) “particulièrement graves” (Grèce) ou susceptibles d’une peine de prison d’au moins un (Luxembourg), deux (Hongrie) trois (Estonie) ou cinq ans (Irlande) ou encore la “sauvegarde de la sécurité de l’État et la préservation de la vie humaine” (Irlande)

La France est aussi le seul pays à avoir lancé la chasse aux “pirates” avec sa Hadopi… Objectif : identifier les sources des journalistes

Dans sa réponse à la Commission européenne, la France précise que les autorités nationales autorisées à accéder aux données sont le parquet, ainsi que les officiers de police et les gendarmes désignés. Chaque demande d’accès doit être motivée, puis l’agent doit “demander l’autorisation de la personne du ministère de l’intérieur désignée par la Commission nationale de contrôle des interceptions de sécurité“. Au passage, Paris omet soigneusement de préciser que le fisc et le gendarme de la Bourse y accèdent eux aussi à l’envi, tout comme les douaniers et ce, sans aucun contrôle judiciaire.

C’est aussi grâce à ces FaDet que la Direction centrale du renseignement intérieur (DCRI), à qui il avait été demandé d’identifier les hauts-fonctionnaires soupçonnés d’informer la presse, a réussi à contourner la loi sur les écoutes téléphoniques, l’an passé, avant d’”outer” David Sénat, membre du cabinet de la Garde des Sceaux Michèle Alliot-Marie, ainsi que quelques agents du Quai d’Orsay magistrats.

Le rapport de la Commission fait curieusement l’impasse sur ces écarts, avançant qu’il n’y aurait aucune preuve d’un quelconque détournement de données personnelles… ce qui fait bondir l’European Digital Rights (Edri, qui réunit 28 ONG européennes de défense des libertés et de la vie privée), mais également le Conseil de l’Union qui, dans sa réponse (.pdf) à la Commission, rappellent, a contrario, plusieurs autres cas d’excès ou d’abus de ce type.

En Allemagne, Deutsche Telekom s’est ainsi servi de ces données pour espionner 60 personnes, dont des journalistes et des syndicalistes, afin de trouver l’informateur qui leur avait confié des documents. En Pologne, deux services de renseignement avaient eux aussi utilisé illégalement ces données, sans contrôle judiciaire, pour identifier les sources de journalistes. En Hongrie, des policiers ont contourné la loi pour confier des données à des personnes non autorisées. Une directive anticonstitutionnelle ?

Les cours constitutionnelles de trois pays (Roumanie, Allemagne et République tchèque) ont annulé leurs transpositions en droit interne de la directive “au motif qu’elles étaient inconstitutionnelles“, et la Cour de justice va elle aussi devoir se prononcer sur la légalité de la directive.

Le rapport de la Commission souligne également, mais très pudiquement, que “ le contrôleur européen à la protection des données a, lui aussi, exprimé des doutes quant à (sa) nécessité “.

Pour être exact, Peter Hustinx a qualifié la directive d’ ”atteinte massive à la vie privée “, et déclaré que “ conserver les données relatives aux
communications et les données de positionnement de tous les citoyens de l’Union européenne, chaque fois qu’ils utilisent leur téléphone ou internet, constitue une énorme ingérence dans le droit au respect de la vie privée de la population ” :

En fait, la question qui se pose n’est pas de savoir si l’accès à certaines données de la téléphonie et de l’Internet peuvent être nécessaires pour lutter contre des crimes graves, mais si cet objectif nécessite que les données relatives au trafic des communications de l’ensemble des citoyens soient conservées systématiquement pour des périodes allant jusqu’à deux ans ?

Un taux d’efficacité de… 0,011%

En l’état, la directive repose en effet “seulement sur la supposition qu’elle constitue une mesure nécessaire et proportionnée“, le contrôleur estimant que “ l’heure est venue de fournir suffisamment de preuves pour étayer cet argument ” :

Sans ces preuves, la directive sur la conservation des données devrait être retirée ou remplacée par un instrument plus ciblé et moins invasif remplissant les exigences de nécessité et de proportionnalité.

Peter Hustinx se permettait même d’exprimer “des doutes quant au fait que des preuves convaincantes seront fournies concernant la nécessité de conserver des données à une si grande échelle“, soulignant qu’ ”un certain nombre de juridictions dans le monde semblent survivre sans ce type de mesures “.

De fait, le rapport n’apporte aucune évaluation statistique sur l’efficacité de la conservation des données. Arguant de quelques affaires de
cybercriminalité et de pédopornographie, les services de police la qualifient d’ ”absolument indispensable et déterminante “, non seulement parce qu’elle permet de confondre des suspects, vérifier des alibis, contacter des témoins, démontrer une complicité mais également, et la Commission insiste lourdement à ce sujet, parce qu’elle permet d’acquitter des innocents, ou de “ mettre hors de cause des personnes soupçonnées, sans devoir recourir à d’autres méthodes de surveillance, telles que l’interception de communications et la perquisition, susceptibles d’être jugées plus intrusives “.

En 2006, une étude de l’office fédéral de police criminelle allemand (BKA) avait estimé, en 2007, que le taux d’élucidation était passé de 55% à 55,006%, grâce à l’exploitation des données de trafic, soit un taux de progression de 0,011%… ce qui fait dire au groupe de travail du Parlement allemand sur la conservation des données que celle-ci complètement “disproportionnée” quant à sa finalité :

Il apparaît clair que le succès de la rétention massive des données est très limité.

Les experts du parlement allemand estiment également qu’ ”il est impossible de réécrire la directive de sorte qu’elle se mette en conformité avec la charte des droits fondamentaux “, et se prononcent clairement pour un dispositif plus respectueux de la présomption d’innocence :

L’Union européenne doit abandonner cette expérience immédiatement et remplacer cette collecte totalement disproportionnée de données des télécommunications de l’ensemble de la population par un instrument qui ne préserve que les seules données des suspects.

Reste donc à savoir combien de personnes ont été visées par le 1/2 million de demandes d’accès aux données de trafic effectué chaque année en France, mais aussi, et surtout, combien ont été condamnées…

[Nico37]

Comment sortir de l’”ère du soupçon” ? 13 mai 2011

Trop peu de gens savent qu’en Europe, les traces de tout ce qu’ils font sur les réseaux sont conservés par les opérateurs de téléphonie et d’internet pendant pendant une durée allant de 6 mois à deux ans (en France, c’est un an).

Et si, plutôt que de surveiller l’ensemble des citoyens, les autorités décidaient de ne plus placer sous surveillance que les seules personnes suspectées d’activités criminelles ?

Non seulement cela limiterait considérablement cette forme de presomption de suspicion, et respecterait la presomption d’innoncence qui, normalement, constitue l’un des fondements de ce qu’on qualifie de démocratie, mais la procédure existe, elle est même en pleine expansion.

Son existence, qui n’avait jamais jusque là été publiquement révélée (Google n’en trouve aucune occurence en français), vient d’être révélée dans un rapport de la Commission européenne. Mais la plupart des pays européens préfèrent continuer à surveiller les télécommunications de l’ensemble des citoyens, au motif qu’il ne s’agit pas tant de surveiller les suspects, mais également de “recueillir des preuves sur les mouvements des victimes ou des témoins“… La France, championne d’Europe de la surveillance des télécommunications

Le Canard Enchaîné & OWNI ont révélé, ce mercredi, que la France était championne d’Europe de la surveillance des télécommunications.

En 2009, la France a en effet procédé à 514 813 demandes d’accès aux “logs“, également nommées “données de trafic“, ou “données de connexion” (qui a téléphoné ou envoyé un mail à qui, quand, d’où, pendant combien de temps ?) conservées par les opérateurs de téléphonie fixe ou mobile, et les fournisseurs d’accès à l’internet.

Le Royaume-Uni arrive en seconde position, avec 470 222 demandes d’accès, loin devant la Lituanie (85 315), les Pays-Bas (85 000) ou encore l’Espagne (53
578), l’Allemagne n’en dénombrant de son côté “que” 12 684 (pour 81,5 millions d’habitants). Comme le soulignait Le Canard enchaîné, “en bonne logique, le
territoire de nos voisins allemands devrait être livré à la terreur et à la dévastation…

Ces chiffres figurent en annexe d’un rapport de la Commission européenne sur la conservation des données, qui a pour objet de préparer une révision de la
directive, en vue d’harmoniser la conservation des données dans l’Union afin, notamment, “de réduire au minimum le risque de violation de la vie privée et de préserver la confiance des citoyens“.

De fait, trois pays (Roumanie, Allemagne et République tchèque) ont estimé que la conservation des “logs” était anticonstitutionnelle au motif, notamment,
qu’elle constituait “une grave restriction du droit à la vie privée et devait donc n’être admise que dans des circonstances extrêmement limitées“, la cour
constitutionnelle allemande ayant ainsi conclu que la loi créait un “sentiment de surveillance, qui pouvait entraver le libre exercice des droits fondamentaux” :

Les données ne devaient être demandées que lorsqu’il existait déjà une suspicion d’infraction pénale grave ou une preuve d’un danger pour la sécurité publique, et l’extraction des données devrait être interdite pour certaines communications privilégiées (c’est-à-dire celles liées à un besoin affectif ou social), qui reposent sur la confidentialité.

L’instrument le plus préjudiciable jamais adopté dans l’Union

Qualifiant la conservation des “logs” d’”atteinte massive à la vie privée“, Peter Hustinx, contrôleur européen à la protection des données a pour sa part
déclaré que la directive européenne ayant généralisé cette surveillance des télécommunications constituait “sans aucun doute l’instrument le plus préjudiciable au respect de la vie privée jamais adopté par l’Union européenne eu égard à son ampleur et au nombre de personnes qu’elle touche” :

En fait, la question qui se pose n’est pas de savoir si l’accès à certaines données de la téléphonie et de l’Internet peuvent être nécessaires pour lutter contre des crimes graves, mais si cet objectif nécessite que les données relatives au trafic des communications de l’ensemble des citoyens soient conservées systématiquement pour des périodes allant jusqu’à deux ans ?

Rappelant que “la directive avait été adoptée à un moment où les risques d’attentats terroristes imminents étaient majeurs” (suite aux attentats de Londres et de Madrid, NDLR), la Commission conclue son rapport en reconnaissant que “la directive ne garantit pas en soi que les données conservées seront stockées, extraites et utilisées dans le strict respect du droit à la vie privée et à la protection des données à caractère personnel“, parce que “la responsabilité de faire respecter ces droits incombe aux États
membres“.

A ce titre, la Commission précise qu’elle “veillera à ce que toute proposition future relative à la conservation des données respecte le principe de proportionnalité et soit apte à atteindre l’objectif de lutte contre les infractions graves et le terrorisme, et n’aille pas au-delà de ce qui est nécessaire pour y parvenir“. En prévision d’une révision de la directive, une étude d’impact devrait ainsi examiner :

la réduction des durées de conservation obligatoire des données,
la limitation des autorités autorisées à accéder aux données,
la réduction des catégories de données à conserver,
la prévention de la recherche aléatoire de données («data mining»).

«Quick freeze plus», la nouvelle vague des écoutes

De fait, la solution existe, et son existence est révélée dans ce même rapport de la Commission. Moins intrusive, parce que ciblée, et non généralisée à l’ensemble des abonnés, la conservation des données “a posteriori” (ou “data preservation“, également appelée “gel immédiat“), oblige les opérateurs ayant
reçu une injonction judiciaire à “conserver des données portant uniquement sur des personnes déterminées soupçonnées d’une activité criminelle” :

Récemment, un mode de conservation des données a posteriori appelé «quick freeze plus» ou «gel immédiat plus» a été mis au point: sa nouveauté est que le juge peut également accorder l’accès à des données qui n’ont pas encore été effacées par les opérateurs.

De plus, il comporterait une exemption légale très limitée de l’obligation d’effacer, pendant une courte période, certaines données de communication qui ne sont normalement pas stockées, telles que les données de localisation, celles concernant les connexions à l’internet, et les adresses IP dynamiques pour les utilisateurs ayant un abonnement forfaitaire ainsi que lorsqu’il n’est pas nécessaire de stocker des données pour la facturation.

La Commission relève cela dit que “la plupart des États membres contestent que la conservation des données a posteriori puisse valablement remplacer la simple conservation des données” dans la mesure où elle ne permet pas de remonter dans le temps, “pas plus qu’elle ne permet de recueillir des preuves sur les mouvements des victimes ou des témoins d’une infraction, par exemple“.

Et c’est bien tout le problème : dans un état de droit, seuls les suspects devraient pouvoir faire l’objet de mesures de surveillance. En l’état, c’est l’ensemble de ceux qui communiquent qui sont surveillés.

En novembre 2001, lorsque la France, réagissant en urgence aux attentats du 11 septembre, avait adopté cette surveillance préventive des traces laissées par
les internautes, nous avions été nombreux à dénoncer cette ère du soupçon. Un sénateur socialiste, Michel Dreyfus-Schmidt, avait d’ailleurs lui-même vendu la mèche avec un lapsus lourd de sous-entendus :

« Il y a des mesures désagréables à prendre en urgence, mais j’espère que nous pourrons revenir à la légalité républicaine avant la fin 2003 ».

Les mesures attentatoires à la vie privée et aux libertés devaient en effet ne s’appliquer que jusqu’en 2003… 42 lois sécuritaires plus tard, il serait peut-être effectivement temps d’en revenir à la “légalité républicaine“.

[Nico37]

Internet : les jean-foutres ont pris le pouvoir

En 1994, apparaissait le Web. L’un des premiers sites était Playboy.com.
Depuis cette époque, toutes les entreprises ont ouvert une vitrine sur cette sous-partie d’Internet. Avec l’explosion du nombre d’ordinateurs interconnectés, sont apparus… les piratages. Car ce réseau a été bâti pour faire un nombre incroyable de choses, mais pas du commerce sécurisé. Tout est troué, mal installé, mal pensé. Les contraintes liées à la sécurité empêchent de faire du commerce en rond. Elles le compliquent. Du coup, tout le monde fait l’impasse sur la sécurité. En partie, ou en totalité.

D’autant que généralement, le seul perdant, c’est le client. Les hacks ultra médiatiques sont oubliés aussi vite qu’ils apparaissent. Et dans ce domaine, personne n’est épargné. Les plus gros, les plus riches, comme les plus anonymes. Tous se font avoir un jour ou l’autre.
Pas de souci, tout cela est si vite oublié…
Ceux qui ne l’oublieront pas sont généralement des anonymes, qui n’ont pas les moyens de faire payer ceux qui sont à l’origine de leurs ennuis.
Des clients lambda dont les données personnelles se retrouvent sur le Net. Noms, adresse, numéro de sécurité sociale, numéro de carte bancaire, logins et mots de passe pour tel ou tel service en ligne. Factures qui s’allongent, comptes en banques qui se vident. Bienvenue sur Internet, le réseau où ceux qui transigent avec la sécurité de vos données ne seront jamais poursuivis.
Bien entendu, ces entreprises, ces ministères, blâmeront les « pirates » qui ont accédé à ces données. Ils sont maléfiques, viennent au choix de l’Est ou de Chine, mettent en péril le gentil capitalisme. Pourtant, on semble oublier un peu vite que le défaut de protection des infrastructures est le fait desdites entreprises, desdits ministères.
Leurs économies de bouts de chandelles ont des conséquences.
Tu vas voir ta gueule à la récré si tu protèges pas les données Le législateur Français, à une époque lointaine, lorsqu’il réagissait avec sa tête plutôt qu’en fonction de peurs infondées et sur la base d’un savant storytelling, avait compris que, s’il fallait punir le « pirate », il fallait aussi punir celui qui ne prenait pas les mesures nécessaires pour protéger les données qui lui étaient confiées.

Ainsi, la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Journal Officiel du 7 janvier 1978 ) en son article 34 dispose que :
« Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. »
Et l’article 226-17 du Code Pénal dispose que :
« Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites à l’article 34 de la loi nº 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 Euros d’amende. »
Maintenant, observons la jurisprudence en France dans ce domaine. Si les condamnations pour « piratage » sont légion (mais pas aussi dures que ce que la loi permet), celles qui concernent la non protection des données personnelles sont… inexistantes.

La dernière remonte à l’époque du Minitel. De mémoire, une femme avait mis en vente son appartement sur un serveur immobilier et ses données avaient malencontreusement « basculé » sur un serveur « rose ».
Les fuites de données personnelles sans même avoir besoin d’avoir recours à un quelconque « piratage » sont légion depuis l’arrivée d’Internet. Et pas une seule condamnation.
Le législateur (français et européen) réfléchit actuellement à un projet obligeant les entreprises à rendre public un éventuel piratage de leurs infrastructures. Voilà qui fera une belle jambe aux personnes dont les données auront fuité…
Depuis 1998, Kitetoa.com, vite rejoint par nombre de sites, dont l’excellent blog de Korben, ou le site Zataz.com, listent inlassablement les milliers de serveurs qui, mal paramétrés, laissent fuiter les données.
Que l’on se comprenne bien, pour ce qui est de Kitetoa.com, il ne s’agit pas d’expliquer des piratages, des moyens illégaux pour accéder à ces données. L’utilisation d’un simple navigateur, sans aucune identification sur le serveur suffit.
Bilan des courses ? Rien.

Avec un peu d’imagination, on comprend ce que de vrais pirates pourraient faire.
Et de tout ça, de toutes ces informations rendues publiques…, qu’en est-il ressorti ?
Rien.
La CNIL ne s’est jamais appropriée un seul de ces dossiers. Elle n’en a jamais transmis un seul au procureur.
Et les procureurs, justement… Aucun ne s’est jamais saisi de ces affaires, pourtant publiques. Imaginez un site listant des infractions, des actes pénalement répréhensibles. Donnant tous les détails. Il a des chances pour que des procureurs se réveillent et fassent en sorte que des vérifications soient menées. Dans le domaine de la non protection des données personnelles, rien.
Reflets.info vient de démontrer en quelques lignes que l’ensemble de la loi Hadopi est boguée et qu’il importe de tout revoir. Le problème n’est pas récent, il avait été souligné par des parlementaires pendant les débats, par exemple sous forme de questions au ministre de la culture, des questions dont certaines sont encore sans réponse. La Haute Autorité consciente du problème, s’est montrée très réceptive aux problématiques de protection des données personnelles qui refont aujourd’hui surface.
Pour autant, très probablement, les avocats ont désormais en main de quoi faire annuler toute procédure se fondant sur ce texte (Maître Eolas ?).

Ce dernier événement dans la trop longue liste des sites troués charrie un sacré cortège de questions. Pourquoi ce texte a-t-il pu être voté par les députés et les sénateurs ? Pourquoi le sénateur, Alex Türk a-t-il voté un texte critiqué par la CNIL qu’il préside par ailleurs ? Pourquoi personne n’a écouté ceux qui savent et qui fournissaient leurs analyses gratuitement ? Pourquoi tant de questions sont-elles restées sans réponses ?
Le règne des costumes cravates
Depuis que le Net est là, depuis plusieurs postes d’observation, je contemple l’action des commerciaux en costumes cravates de mauvaise facture vendre à prix d’or des projets troués d’avance. Je les regarde vanter les mérites de leurs entreprises, qui n’en ont aucun. Les marchands de vent qui viennent crier sur tous les toits que leurs logiciels protègent contre les « hackers », contre les failles passées, présentes et futures. Je les contemple enfumer leurs clients, mais aussi les représentants du peuple.
Parmi les hommes en costumes cravates de mauvaise facture, il y en a même qui s’arrogent le droit de jouer aux cow-boys du Net. C’était le cas de HBGary aux Etats-Unis et l’affaire a très mal fini. Rien ne dit qu’il n’y a pas en France une ou des entreprises qui pensent engranger des millions en suivant cette voie périlleuse. L’avenir le dira sans doute. Patience ©.

Quoi qu’il en soit, le réseau Internet n’a pas été conçu pour faire du commerce électronique, bien au contraire. Il est tout sauf sécurisé.
Allons plus loin, il est tout sauf sécurisable. C’est juste impossible. Alors vendre du stockage de données personnelles, du paiement d’impôts, de la e-administration publique, du commerce électronique, c’est simplement laisser, en toute conscience, un crime se dérouler.
J’ai coutume de dire dans des conférences qu’il ne faut pas craindre les piratages qui font la Une des journaux. Aussi incroyables soient-ils, aussi dérangeants puissent-ils paraître. Ce qu’il faut craindre, ce sont les piratages dont on n’entend jamais parler. Ils sont bien plus inquiétants. Et ils existent.
Pour ce qui est de la loi Hadopi, dire que les particuliers doivent sécuriser leur accès Internet, c’est très con. Et c’est faire preuve d’une fabuleuse mauvaise foi. Désolé de faire une comparaison avec le monde réel, mais visiblement un sénateur comme M. Türk ne doit pas comprendre autre chose.
Imaginons que l’on oblige les particuliers à prendre des mesures pour éviter que leurs voitures ne soient volées et ne servent à commettre un délit, comme une attaque à la voiture-bélier. Sans quoi ils seraient poursuivis. Ca vous paraît con ? C’est à peut près aussi con que de dire que les particuliers doivent sécuriser leurs accès.

Dire que si l’adresse IP d’un particulier est repérée en train de télécharger un film cela doit aboutir à une coupure de l’accès au Net, c’est simplement méconnaître la réalité. Avec les millions de bots qui tournent pour exploiter des Windows troués, avec les milliers de logins et mots de passe qui trainent sur le Net pour se connecter à des accès Wifi de particuliers, c’est une honte de passer une telle loi.
Tout cela a été dit lors des débats précédant le vote de la loi par ceux qui savent comment fonctionne le réseau. Personne ne les a écoutés.
Depuis des années et des années, nous sommes nombreux à dire que si l’on n’attaque pas les entreprises au portefeuille, les données personnelles continueront de fuiter. En vain.
Laisser le secteur s’auto-réguler, prendre des dispositions comme PCI-DSS, c’est le laisser faire n’importe quoi (voir Sony et Hartland par exemple). C’est à peu près aussi stupide que d’attendre des financiers qu’ils arrêtent, sans aucune pression extérieure, de créer des crises monumentales.
Les seuls qui pourraient faire quelque chose, les procureurs, la CNIL, le législateur, les politiques, sont silencieux et inactifs. Il y a bien quelques écrans de fumée déclenchés de temps à autre. Sept minutes d’amende pour Google par exemple. Mais pour TMG, combien ? Pour ceux qui ont monté l’usine à gaz qu’est la loi Hadopi, combien de minutes d’amende ?

[Nico37]

Digiposte : la poste garde vos données en toute sécurité… ou pas !

Internet c’est une vraie jungle, un far west avec des terroristes numériques qui violent des femmes de chambre la démocratie ! Mais putain en même temps si vous faisiez un peu attention avant de sortir un service plein de trous ça serait aussi une bonne idée non ?

La poste a sorti hier un service en partenariat avec myid.is (sur lequel je reviendrai à l’occasion) ce qui m’a amené à regarder un peu leur offre précédente : Digiposte. L’idée de ce machin est de « sauvegarder et protéger vos données », on vous encourage à y stocker tous les documents confidentiels dont vous pouvez avoir besoin, … Bref un beau repos de données confidentielles qui intéresseront moultes Hackers mal-intentionnés.

Coup de bol, je suis bien intentionné et autour de moi je ne connais que peu de personnes prêtes à faire confiance à la poste… Pourquoi coup de bol ? Bah je vous laisse avec la capture ci-dessous :



Je n’ai pas le temps d’auditer le site complet… Mais il y a fort à parier que si une erreur aussi basique (qui permet juste, encore une fois, de récupérer la session d’un utilisateur connecté) traine d’autres soient aussi là.

En passant : la méthode d’authentification de ce site est insupportable, basée sur deux mots de passe dont un que l’on doit donner en entier et le second en partie… Ça ne sert à rien si on peut gentiment récupérer l’identifiant de session d’un utilisateur déjà connecté

[Nico37]

Comment ficher les fauteurs de troubles

En marge du sommet du G8 de Deauville, militants et manifestants courent le risque d'être apparentés à des terroristes. Décodage de fichiers de police de plus en plus flous.

Cécile Lecomte, militante française installée en Allemagne, fait partie d’une troupe de militants escaladeurs, Robin Wood, qui bloquent des convois militaires ou des trains de déchets nucléaires. Surnommée l’Écureuil, elle ne compte plus les gardes à vues. Et nous assure qu’elle figure dans une dizaine de fichiers policiers – notamment ceux de l’agence Europol – dont certains destinés à la prévention du terrorisme.

Au moment où plusieurs mouvements entendent protester contre le G8 de Deauville, l’Union Européenne entretient toujours le trouble sur les caractéristiques exactes des fichiers permettant de suivre les « fauteurs de troubles » qui perturbent les grandes réunions internationales. Au risque de confondre des contestataires très remuants avec des auteurs de crimes ou d’actes terroristes.

Un tel risque existe bel et bien si l’on en croit les travaux des groupes de travail du Conseil de l’Union européenne, disséqués par l’Ong britannique Statewatch. Même s’il n’y a pour l’instant pas de consensus pour créer des fichiers spécifiques, ou pour ajouter ces menaces potentielles aux fichiers policiers déjà existants au sein de l’UE, la question est sensible car elle touche une nouvelle fois à l’équilibre entre lutte contre le crime (et le terrorisme par extension) et libertés fondamentales.

La définition même de « fauteur de troubles » (troublemakers) soulève des problèmes. C’est en 2001, à l’issue de deux sommets particulièrement symptomatiques — ceux de Göteborg en juin (Conseil européen) et de Gênes en juillet (G8), donc bien avant les attentats du 11 septembre — que l’UE décide de rédiger deux « manuels » destinés d’une part à la « sécurité contre le terrorisme » et d’autre part à « la gestion de l’ordre public ». En 2007, début du mélange des genres : ces deux manuels n’en font plus qu’un (« EU Security Manual » .pdf). Et au lendemain des manifestations en marge du sommet du G8 de Heiligendam (Allemagne, juin 2007), que l’idée de créer une « base de données » intra-UE s’impose pour la première fois.
Objectifs du gouvernement allemand, à l’origine de cette évolution :

Pouvoir partager de l’information sur des « fauteurs de troubles violents » et envisager la possibilité « d’utiliser SIS [Système d’information Schengen] pour cet échange d’information.

Actuellement, un Système d’information Schengen de deuxième génération (SIS II) est à l’étude. Le SIS est l’un des premiers fichiers centralisés créé au sein de l’Union — il est réservé aux seuls pays membres de l’espace Schengen (25 des 27 pays de l’UE). Il peut déjà être utilisé pour empêcher, même temporairement, à des individus de pénétrer dans tel ou tel pays membre pour une durée limitée — le temps d’un sommet international, par exemple. Le problème, c’est que la « convention SIS » prévoit, dans son article 99, que ces restrictions à la liberté de circulation sont réservées aux cas de « crimes ou délits extrêmement sérieux » ou encore aux «menaces sérieuses».

Pour l’heure, aucun consensus n’a semble-t-il été dégagé pour inclure la notion de « fauteur de troubles » dans le SIS. Mais l’idée rencontre encore un certain succès dans les appareils sécuritaires. Statewatch met en avant l’insistance du gouvernement allemand. Dans une note remise avant une réunion technique de coopération policière du 7 avril 2008, Berlin fait le même amalgame douteux entre « crimes » et « confrontations violentes » en suggérant la qualification tendancieuse de « délit particulièrement sérieux » (significant criminal offense).

Un délit particulièrement sérieux (…) tend à perturber sensiblement la paix publique et peut potentiellement avoir un effet considérable sur le sentiment public de sécurité.

Ficher les manifestants comme les tifosis ?

Cette notion n’est pas sans rappeler le fameux « sentiment d’insécurité », très en vogue en France pour servir de baromètre répressif après le moindre fait divers. Pour Tony Bunyan, fondateur et directeur de Statewatch, il est « absurde » de lier les délits ou crimes sérieux à la notion de « perturbation de la paix publique ». « Cela peut englober des manifestants non violents qui font un sit-in ou tout autre rassemblement de protestation. Ils pourraient être interprétés par la police comme ayant ‘un effet considérable’ sur le sentiment de sécurité ».

En février 2009, la délégation allemande ne lâche pas prise. Prenant prétexte de lutter contre les hooligans de football, elle propose de pouvoir ajouter dans SIS des alertes « fauteurs de troubles violents », et cela « même si ces alertes sont incompatibles avec les lois nationales »…

Il ressort de ces échanges que seuls deux pays, le Danemark, et donc l’Allemagne, ont inséré cette notion de « fauteur de trouble » dans leurs fichiers policiers. Reste que ce n’est pas toujours pour embrigader des supporters de foot, comme le montrent les mésaventures de notre militante anti-nucléaire.

A l’heure actuelle, le dossier « fauteur de trouble » est en stand-by. Mais Statewatch indique que la Commission devrait publier une note d’orientation, au plus tard en 2012. Ou plus tôt… Car lors de chaque « débordement » — toujours attribué aux manifestants, curieusement —, les faucons de l’ordre public européen mettent la pression. Juste après le sommet de l’OTAN d’avril 2009 à Strasbourg, une note de la présidence suédoise évoque le:

besoin d’échanger des informations sur des personnes qui perturbent l’ordre public et/ou menacent la sécurité publique, càd : hooligans sportifs, émeutiers violents, agresseurs sexuels, auteurs récidivistes de crimes sérieux.

Notez la nuance « et/ou », qui mélange de nouveau « criminels » et « perturbateurs ». Une idée qui a déjà séduit l’Italie de Berlusconi.
Suite à des manifestations étudiantes violemment réprimées en décembre 2010, le ministre de l’Intérieur Roberto Maroni a ni plus ni moins proposé que les manifestants soient fichés comme les tifosi, et soient exclus des manifs en cas de « violences répétées » comme un supporteur est interdit de stade après une bagarre… En France, le débat a été vif lors du lancement du funeste fichier EDVIGE, mis de côté puis légalisé fin 2009 dans le fichier PASP (« prévention des atteintes à la sécurité publique »).

Des hooligans aux manifestants en passant par les migrants et les musulmans

Interrogé par OWNI, le Superviseur européen à la protection des données, Peter Hustinx, n’a pas souhaité commenter ces développements. Ses services se sont contentés de nous renvoyer vers les innombrables avis et recommandations qu’il a publié sur les traitements de données à visées policières. Cela va sans dire: le Superviseur n’a aucun pouvoir pour bloquer ni amender les plans du Conseil en la matière. Pour Tony Bunyan de Statewatch:

La réponse de l’UE à la ‘guerre contre le terrorisme’ a conduit à cibler en premier les musulmans, les migrants aussi bien que les réfugiés et les demandeurs d’asile (…) Maintenant, l’idée émergente au sein de l’UE, c’est que les manifestations et le droit de protester deviennent une cible prioritaire de la politique européenne de ‘sécurité intérieure’

Statewatch insiste aussi sur la volonté du Conseil de l’UE, dès avril 2010, de créer un « instrument multidimentionnel » pour «c ollecter des données sur les processus de radicalisation ».

Tony Bunyan y voit une autre porte ouverte à l’amalgame. Dans un document technique, la notion d’ « idéologie supportant directement la violence » est élargie à une liste disparate de groupes divers :

extrémisme de droite ou de gauche, islamisme, nationalisme, anti-globalisation, etc.

Les documents du Conseil montrent en outre qu’il s’agit plus de renseignements que d’informations concrètes (faits constatés) visant des groupes condamnés pour des faits avérés. En réponse à une question écrite de députés européens sur ces notions de radicalisation violente, le Conseil et la Commission rivalisent de déclarations vertueuses:

Les conclusions du Conseil sur l’utilisation d’un instrument normalisé de collecte des données constituent des recommandations (…). L’un des objectifs de cet instrument, conformément à la stratégie de l’UE visant à lutter contre le terrorisme, est d’analyser les raisons pour lesquelles certaines personnes recourent à la violence pour poursuivre des objectifs politiques. La décision d’utiliser cet instrument technique revient à chaque État membre. » (Réponse du Conseil, 18/2/2011)

Le programme de Stockholm invite la Commission à examiner la meilleure manière de faire en sorte que les autorités compétentes des États membres puissent échanger des informations sur les déplacements des délinquants violents et à présenter une communication à ce sujet en 2012. (…) il est toutefois trop tôt pour préjuger de l’issue de l’analyse actuellement en cours. (…) ces termes n’ont été utilisés que dans des documents d’orientation, et pas dans des textes juridiques. (Réponse de la Commission, 10/01/2011)

Pourtant, la liberté d’expression est directement concernée car il est question de surveiller les « messages radicaux », c’est-à-dire les opinions et les écrits de tels ou tels groupes qui contesteraient l’ordre libéral actuel.

[Nico37]

EU Database Nation(s): surveiller et punir en Europe

Les manifestants ne sont pas les seuls à être répertoriés dans les fichiers de l'Union européenne. Les migrants, les expulsés, les voyageurs et passagers, ceux qui utilisent le net ou le téléphone sont eux aussi "profilés".

La coopération policière et judiciaire bat son plein au sein de l’UE.

Par touches successives, les États ont accepté de perdre leur souveraineté en matière de maintien de l’ordre et de prévention de la criminalité. Au risque de créer de nouveaux amalgames qui menacent directement les manifestations légitimes ou de simples militants pacifistes.

L’information en la matière n’a jamais été le point fort de l’Union. Ce n’est que très récemment que la Commission européenne a publié — en juillet 2010 — un document exhaustif sur la liste exacte des différents traitements automatisés nominatifs à portée supra-nationale (« Présentation générale de la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice » — voir le résumé des procédés mis en oeuvre, et le rapport complet).

Certains utilisent des données collectées dans les États membres, d’autres comportent des éléments récoltés par des agences supranationales — comme Europol (coopération policière), Système d’information Schengen (SIS), ou encore Frontex (sécurité des frontières extérieures) — et partagés ensuite entre les 27 gouvernements. A cela s’ajoute des procédures d’échanges d’informations automatiques ou ponctuelles, décidées par le Conseil dans des « décisions-cadre » au gré de l’actualité (Traité de Prüm, Programme de Stockholm, etc.), échappant le plus souvent au regard des parlements nationaux (pointez la souris
sur les noms des fichiers pour faire apparaître leurs descriptions) :

- Les fichiers «souverains» de l’UE
- Eurodac Europol Eurojust VIS (système d’information des visas)
- SIS (Système d’information Schengen, 2001) et SIS-II (en cours)

Fichiers nationaux pouvant être partagés

Listes des voyageurs Données passagers (PNR) Données de communication et de trafic
Programme de Stockohlm
Données passagers (PNR) Listes noires (ESTA & EES) Fichiers policiers (EPRIS) Financement du terrorisme (TFTP de l'UE)

Dans cette liste à la Prévert, on stocke à la fois des données sur de simples suspects que sur des personnes condamnées, ou qui font l’objet de mandats d’arrêts.

Exemple : les fichiers d’Europol — baptisés «fichiers de travail à des fins d’analyse» — portent sur des personnes «suspectées» ou «condamnées», et plus largement sur ceux qui «pourraient commettre des infractions pénales» (article 12 du nouveau règlement Europol, d’avril 2009, .pdf en anglais). On y retrouve même des items qui firent hurler en France lors de l’affaire du fichier “Edvige”, comme des « données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, ainsi que le traitement de données concernant la santé ou la sexualité ».

Un individu présent dans un fichier peut se retrouver presque automatiquement dans les autres — SIS et SIS II (Schengen), VIS (visas), API et PNR (données passagers), SID (douanes), ECRIS (casiers judiciaires), Prüm, Europol, Eurojust, etc. Et ses données biométriques (digitales, génétiques, visages) peuvent être traitées dans pas moins de 8 fichiers ou systèmes d’échange.

Certains fichiers centralisés à l’UE — surtout ceux régulant les flux migratoires — comportent des données biométriques, y compris des profils ADN. Les durées de conversation sont soit imprécises soit jamais mentionnées — et dans le cas d’éléments partagées avec les Etats-Unis, c’est Washington qui décide : 15 ans de stockage, par exemple, pour les traces de tous les vols transatlantiques (fichiers PNR), vient de révéler The Guardian. Les autorités pouvant avoir accès varient en fonction des finalités. Les droits de recours, d’opposition ou de rectification ne font pas l’objet d’une communication rigoureuse et normalisée. Et les rares « autorités de contrôles » mises en place n’ont quasiment aucuns pouvoirs contraignants pour limiter la casse sur les droits politiques et sociaux. Bref, la machine à « surveiller et punir » de l’UE n’a rien à envier de sa grande soeur étasunienne.

Le Contrôleur européen à la protection des données (CEPD), Peter Hustinx, a publié en décembre 2010 un avis (.pdf) sur cette « présentation générale ». Un extrait illustre bien le dialogue de sourd qui s’instaure en haut lieu :

« La Commission évoque le concept de la prise en compte du respect de la vie privée dès la conception («privacy by design») à la page 25 de la communication (…) Le CEPD se félicite de la référence à ce concept qui est actuellement en cours de développement, dans le secteur public comme dans le secteur privé, et qui doit également jouer un rôle important dans le domaine de la police et de la justice.

Le CEPD remarque [néanmoins] que ni les orientations générales décrites dans cette communication, ni les lignes directrices élaborées par la Commission en matière d’analyse d’impact n’explicitent cet aspect et n’en font une exigence politique. »

La lutte contre le terrorisme est l’arme favorite de l’UE pour justifier de tels déploiements de surveillance technologique. C’est le domaine de compétences de Martin Scheinin, rapporteur spécial du Conseil des Droits de l’homme de l’ONU chargé de la « promotion des droits de l’homme dans la lutte contre le terrorisme ».

Des techniques au service du profiling

Dans un rapport de décembre 2009, il mentionnait les multiples entraves aux libertés individuelles des lois antiterroristes, en mettant l’Europe au même banc que les Etats-Unis. « Certaines intrusions dans la vie privée des personnes peuvent devenir permanentes dans la mesure où les traits physiques et biologiques sont souvent centralisés dans une seule base de données », remarquait-il. Parmi les outils et mesures les plus contestés :

* rassemblement de listes et de bases de données;
* surveillance accrue des données bancaires, de communications et relatives aux voyages;
* utilisation de techniques de profiling pour identifier des suspects potentiels;
* accumulation de fichiers encore plus larges pour évaluer la probabilité d’activités suspectes et l’identification de personnes à des fins d’analyses futures;
* techniques avancées comme la collecte de données biométriques ou de scanners corporels.

Martin Scheinin épinglait l’UE pour sa volonté de détourner Eurodac, le système d’identification biométrique des demandeurs d’asile, de sa finalité première (en sachant que détourner un fichier est une infraction pénale dans tous les pays de l’Union). Le Conseil de l’UE voulait sans complexe utiliser ce fichier d’empreintes digitales — de personnes très vulnérables, faut-il le rappeler — pour « aider à prévenir, détecter et enquêter sur les menaces terroristes ». Faisant ainsi un amalgame entre «migrants» et «terroristes»… Un projet en souffrance, mais qui pourrait voir le jour malgré l’opposition actuelle du Parlement européen.

Dans un rapport plus récent de mai 2010 (document .doc) portant spécifiquement sur la politique de sécurité européenne, il citait les systèmes SIS, Eurodac et VIS (systèmes d’information des visas) comme ayant les « plus sérieuses implications pour les libertés fondamentales » en pointant les multiples « insuffisances » dans la protection des personnes ciblées.

Le rapporteur spécial s’en prend aussi à l’une des décisions-cadres citées dans l’étude de la Commission. Celle prise en 2006 suite aux attentats de Madrid deux ans plus tôt, et visant à « faciliter l’échange d’informations entre les services répressifs des États membres ». Cela a pour conséquence, écrit-il, de permettre à certaines forces de police d’accéder à « des données qu’elles seraient dans l’impossibilité d’obtenir légalement dans leur propre pays »…

Le Traité de Prûm, inspiré lui aussi par les attentats de Londres et Madrid, signé en mai 2005 par seulement six pays européens (Belgique, France, Espagne, Allemagne, Luxembourg et Pays-Bas), a tout de même été intégré au régime légal de l’ensemble de l’UE. «C’est regrettable, déplore Martin Scheinin, ce traité autorise l’échange de profils ADN qui ont un très sérieux impact sur les libertés». Surtout que certains pays, comme la France, y incluent des profils génétiques de simples suspects, y compris mineurs.

Un fichier des reconduits à la frontière en charter

L’agence Frontex — matérialisation policière de la « Forteresse Europe » — envisage elle aussi de créer une base centralisée, placée sous sa responsabilité. Non recensée par l’étude de la Commission, car trop récent, son projet vise à ficher toute personne en situation irrégulière lorsqu’il est « reconduit » (« expulsé » en terme clair) dans le cadre d’«opérations conjointes de retour par voie aérienne» (en clair, des charters d’étrangers faisant escale dans plusieurs pays de l’Union).

Ce fichier central doit lister «le nombre et l’identité exacte [des expulsés], fournir une liste à la compagnie, identifier les risques liés à chaque personne, savoir si des mineurs sont présents» et quel est «l’état de santé de chacun pour leur apporter une aide médicale adéquate»

Le CEPD, dans un avis (.pdf) d’avril 2010, recommande que Frontex ne soit autorisé à traiter seulement la réponse à la question « ce passager est-il en bonne santé ? – oui/non». Il note aussi que l’agence a « oublié » de garantir aux personnes fichées leurs droits fondamentaux. « Frontex n’a jusqu’ici pas détaillé de procédures spécifiques pour garantir le droit de ces personnes» (droit d’information, d’accès, de rectification et d’opposition), et rappelle l’extrême fragilité des personnes prises en charge.

Dans la majeure partie des cas, leur langue natale ne sera pas celle d’un des états membres et seront de plus en situation de grande détresse. [Il faut donc que] l’information fournie leur soit compréhensible (…). [Pour] les personnes illettrées un agent devra pouvoir les informer par oral. Les notices d’informations devront être rédigées dans un langage clair et simple en évitant des terminologies juridiques (…).

Un autre projet intra-UE (non recensé) inquiète fortement le CEPD : Eurosur. Nom de code du « système européen de surveillance des frontières », il doit être présenté par la Commission en décembre 2011.
La dernière mention de ce projet dans les serveurs de Bruxelles date du 5 mai dernier, dans une note consacrée à la « crise migratoire » (sic) qui sévit en Méditerranée. Les réfugiés qui tentent de quitter leurs pays en guerre seront ravis d’apprendre que l’Europe les soigne au plus près. Alors que le bilan humain est chiffré par les ONG à plus de 1000 morts depuis janvier 2011, Eurosur est présenté comme une solution.
Objectifs : « créer un corps de garde-frontières européens » et parvenir à une « culture commune (…) soutenue par une coopération pratique »…

Dans un avis général (.pdf) de décembre 2010 portant sur « La stratégie de sécurité intérieure de l’UE en action », le CEPD s’interroge :

Le CEPD note qu’il n’est pas clairement établi si la proposition législative sur EUROSUR (…) prévoira aussi le traitement des données à caractère personnel (…). Cette question est d’autant plus pertinente que la communication établit un lien clair entre EUROSUR et FRONTEX aux niveaux tactique, opérationnel et stratégique.

Pas difficile de voir Eurosur comme une menace sérieuse pour les libertés individuelles. Car il se base sur une foule de projets technologiques financés par le 7ème projet-cadre de recherche de l’UE (2007-2013). Une belle brochure (.pdf), éditée en 2009, décrit les techno-merveilles d’une « Europe plus sûre ». Parmi les 45 projets recensés, 17 sont menées par des institutions dont l’activité principale est d’ordre militaire; 5 autres sont dirigés par des industriels de la
sécurité ou de la défense (Thales, Finmeccanica, EADS, Sagem, Saab et BAE Systems).

INDECT insiste par exemple sur la « sécurité des citoyens en environnement urbain ». ADABTS (Automatic Detection of Abnormal Behaviour and Threats in crowded Spaces), de BAE Systems, prévoit de son côté de détecter les « comportements anormaux dans la foule », grâce à des « capteurs acoustiques et vidéo ». Si les « hooligans » sont ciblés en premier, les manifestants ne seront pas oubliés.

Le projet « EU-SEC II » a la même pudeur en citant la surveillance des rencontres sportives, alors que tout rassemblement public sera dans le collimateur. Maîtres d’oeuvre du chantier : l’agence Europol et une vingtaine de directions nationales de la police (la DGPN pour la France).

Quant au projet IMSK (Integrated Mobile Security Kit), il se permet de citer les « sommets politique de type G8 » pour justifier un arsenal de « capteurs optiques, infra-rouges, radar, acoustiques et vibratoires, rayons-x et gamma… ». Et ainsi de suite…

PS. — Le titre s’inspire du bouquin “Database Nation” (O’Reilly, 2000), écrit par le journaliste de Wired Simson Garkinkel, qui décrivait les ramifications de fichiers en tous genres aux Etats-Unis.

[Nico37]

Dénoncer une faille de sécurité, c'est du piratage ?

TMG avait indiqué porter plainte pour cause de vol de données, sur un serveur... non protégé. A l'origine, une faille de sécurité mise au jour
par un blogueur. Finalement, il semblerait que l'affaire TMG vs Bluetouff n'aura pas lieu.

C'est une affaire dont Trident Media Guard (TMG) se serait bien passé.

En plus d'avoir été négligent sur la sécurité des données personnelles, le prestataire technique spécialisé dans les technologies d'analyse des flux sur les réseaux peer-to-peer, chargé de transmettre les adresses IP utilisées par l'Hadopi pour identifier les internautes qui téléchargent
des oeuvres protégées par le droit d'auteur, se retrouve aujourd'hui au centre d'un débat sur le hacking.

TMG s'est d'abord fait épingler par le blogueur Olivier Laurelli (Bluetouff) qui a découvert une faille de sécurité sur un de ses serveurs. En conséquence de quoi, l'Hadopi et la Cnil ont diligenté illico presto un contrôle, et Hadopi a suspendu sa connexion informatique avec TMG. Las, l'affaire ne s'arrête pas là puisque TMG a déclaré à Ouest-France avoir porté plainte, se déclarant "victime d'un vol de données". Or, la SCPP, un représentant des ayants-droit cité par PC Inpact, a expliqué que le serveur concerné n'était "pas protégé car ne contenant pas d'informations confidentielles". Lemonde.fr relevait que dans ce cas l'intrusion informatique n'est pas automatiquement caractérisée. Ne manquait plus que TMG s'en prenne sans raison légitime à Bluetouff pour catalyser le ressentiment des anti-Hadopi, déjà bien remontés à son encontre.

Cependant, contrairement aux apparences, l'affaire pourrait se calmer plus vite que prévu.

Olivier Laurelli a indiqué à lexpansion.com que Reflets.info, à l'origine de la publication, n'avait été notifié d'aucune plainte pour le moment. "Nous réfutons en tout cas toute accusation de piratage que pourrait invoquer TMG pour masquer maladroitement sa propre négligence.
Nous nous amusons en outre que la divulgation de données de test, avec des IP de test, d'internautes de test, sur un serveur de test... suscite un tel émoi chez TMG", explique-t-il.

Si aucune plainte n'est confirmée, c'est que du côté de chez TMG, on a peut-être parlé un peu trop vite. "Nous envisageons de retirer notre
plainte contre X", confie un porte-parole de la société, qui explique ne pas "vouloir jeter l'opprobre sur qui que ce soit", à moins de trouver une preuve formelle d'intrusion d'ici là. La plainte n'aurait peut-être même pas été déposée du tout.

Est-on coupable d'intrusion quand on entre sur un serveur non protégé ?

Dans le cas où elle le serait, la jurisprudence n'est pas si floue que cela en la matière et il y a de grandes chances que l'affaire soit classée. L'affaire qui fait référence est celle de Kitetoa, en 2002. Il s'agissait là encore d'un auteur de Reflets.info, qui avait découvert une faille de sécurité sur un serveur de Tati. "La cour d'appel a posé des principes sur les limites à respecter, qui font depuis autorité, explique Benoît Louvet, avocat spécialisé dans les domaines d'internet et de l'informatique. Il y a hacking soit à partir du moment où on contourne des mesures techniques qui empêchent d'entrer sur un serveur, ce qui revient à commettre une intrusion. Soit quand il n'y a pas de protection ou que la mesure n'est pas opérante, mais qu'il est évident qu'on entre dans un espace dans lequel on n'a pas le droit d'entrer." Un pirate coupable d'intrusion risque une amende et trois ans de prison, mais la peine est très théorique.

Qu'en est-il exactement pour TMG ? "Toutes les données étaient accessibles d'un simple clic, sans strictement aucun avertissement sur la nature confidentielle des données ni aucun dispositif de sécurité", précise Olivier Laurelli. Il semble donc bien que dans ce cas il n'y ait pas piratage.

Là où le droit est plus flou, c'est sur la dénonciation des failles de sécurité. Benoît Louvet rappelle qu'il n'y a ni obligation de dénonciation (cela n'existe que pour les crimes), ni interdiction. Si elle procède d'une volonté manifeste de nuire, cela joue en défaveur de son auteur. En revanche, si la dénonciation est utile - ce que l'on pourrait dire de l'avertissement lancé par Olivier Laurelli, personne n'a envie que ses données se baladent dans la nature -, cela n'entraîne pas forcément la clémence.

[Nico37]

Des établissements scolaires sont mis en demeure de modifier leurs dispositifs de vidéosurveillance jugés excessifs 30 mai 2011

Plusieurs établissements scolaires ont été mis en demeure par le Président de la CNIL de modifier leurs dispositifs de vidéosurveillance. Lors de contrôles, la CNIL a constaté que ces dispositifs filmaient en permanence des « lieux de vie » tels que la cour de récréation, le préau ou le foyer des élèves. Les élèves et les personnels de l’établissement étaient ainsi placés sous une surveillance permanente. Or, seules des circonstances exceptionnelles peuvent justifier la mise en place de tels dispositifs de surveillance.
Certains établissements scolaires utilisent maintenant depuis de nombreuses années la vidéoprotection afin de renforcer la sécurité de leurs abords. Ces dispositifs, parce qu’ils filment la voie publique, doivent être autorisés par le préfet.
Depuis quelques mois, la CNIL reçoit un nombre croissant de plaintes d’associations, de parents d’élèves ou d’enseignants concernant l’installation de caméras au sein même d’établissements scolaires et non plus seulement sur la voie publique. La CNIL a effectué des contrôles auprès de certains des établissements mis en cause afin d’apprécier la régularité de ces dispositifs.
Les caméras, qui peuvent être installées pour protéger les biens ou les personnes, lutter contre la fugue ou le tabagisme, filment les lieux de vie de ces établissements tels que les cours de récréation, les préaux, les jardins ou les foyers des élèves. Elles permettent alors une surveillance permanente des personnes qui s’y trouvent, qu’il s’agisse des élèves ou des enseignants.
Cette collecte excessive de données a conduit le président de la CNIL à mettre en demeure cinq de ces établissements de modifier leur système qui porte atteinte aux libertés des élèves et personnels de l’établissement scolaire, en les filmant en continu.
En effet, la sécurisation des biens et des personnes peut être obtenue par la mise en œuvre de moyens moins intrusifs : sécurisation renforcée des accès par exemple, ou configuration du dispositif de vidéosurveillance qui peut être limité aux seuls accès de l’établissement.
Seules des circonstances exceptionnelles – établissements scolaires victimes d’actes de malveillance fréquents et répétés – peuvent justifier que des élèves et des enseignants soient filmés en continu.
La Commission a également veillé à ce que les élèves, leurs parents et les personnels soient parfaitement informés de l’existence de ces dispositifs et de leur finalité, ce qui n’était pas toujours le cas.

Les caméras de surveillance indésirables dans les écoles

Cinq établissements scolaires qui avaient installé des caméras de vidéosurveillance dans leurs locaux sont sommés par la Cnil de les retirer au motif qu’elles portent atteinte aux libertés. Une initiative qui a valeur de jurisprudence.

De plus en plus populaires, en banlieue comme à la campagne, les systèmes de vidéosurveillance placés à l’intérieur des établissements scolaires connaissent peut-être leurs dernières heures. Saisie début 2010 par plusieurs associations de parents d’élèves et d’enseignants, la Commission nationale de l’informatique et des libertés (Cnil) vient de mettre en demeure cinq d’entre eux de retirer les équipements installés dans les lieux de vie, tels la cour de récréation, le préau ou le foyer des élèves.

Une décision qui concerne tout type d’établissement, de la maternelle au lycée, et « qui a valeur de jurisprudence », s’empresse de préciser la Cnil.
Pour justifier cette sanction, l’autorité indépendante estime que la présence de caméras à l’intérieur d’une école — celles qui filment les abords ne sont pas concernées — constitue « une collecte excessive de données, qui porte atteinte aux libertés des élèves et personnels ». « Dans un établissement scolaire, la sécurité des élèves doit d’abord être assurée par les surveillants et le personnel éducatif, résume Thomas Dautieu, responsable des contrôles à la Cnil. On ne peut pas dire aux enfants : Faites attention à votre vie privée sur Internet, et dans le même temps les filmer en permanence quand ils sont à l’école. »

De fait, cette mise en demeure établit une nouvelle norme en la matière. « En cas de plaintes similaires, nous appliquerons la même décision », prévient Thomas Dautieu. Seule exception : certaines écoles victimes d’actes de malveillance répétés pourront faire valoir la nécessité d’un tel dispositif. « Les chefs d’établissement devront justifier d’un danger réel pour la sécurité des biens ou des personnes, et dans des zones bien définies. Nous examinerons ces demandes au cas par cas », poursuit le responsable des contrôles. En cas de feu vert, l’école concernée devra « informer de façon claire élèves, parents et enseignants de la présence de caméras dans les locaux ».

Si aucun chiffre officiel ne permet de mesurer son ampleur, la vidéosurveillance en milieu scolaire est un « phénomène en augmentation » qui ne touche pas « uniquement les banlieues difficiles », rappelle la Cnil. Soucieuse de ne pas pointer du doigt les cinq écoles sanctionnées, la commission se contente de préciser qu’il ne s’agit pas « forcément d’établissements exposés à des faits de violence fréquents, l’un étant même situé dans une zone rurale réputée calme ». Si la mise en demeure n’est pas suivie d’effets, l’autorité pourra alors exiger le paiement d’une amende de 150 000 €. « Il y a peu de chances de devoir en arriver
là, assure Thomas Dautieu. En installant ces caméras, les chefs d’établissement n’avaient pas de mauvaises intentions. Ils ne s’étaient simplement pas posé la question de savoir s’ils en avaient vraiment besoin. »