Mark Zukerberg est reçu à l’Elysée ce vendredi. Après une première rencontre l’an dernier, le patron de Facebook doit discuter avec Emmanuel Macron d’une meilleure régulation d’Internet. La France veut se doter d’une loi pour modérer les propos haineux en ligne. […]

Sur Christchurch, ces vidéos de l’attentat de la mosquée, diffusées en direct, partagées ensuite plus d’un million de fois. C’est l’exemple même de l’impossibilité technique d’agir pour Facebook selon Arthur Messaud, juriste à la Quadrature du Net, une association de défense des droits et libertés des citoyens :

« Si on veut savoir comment Facebook censure sa plateforme, on peut regarder ce qu’il s’est passé avec l’attentat de Christchurch. Google et Facebook ont entièrement échoué à empêcher la diffusion de cette vidéo pendant au moins 24 heures et plus. Tout simplement, parce que leurs algorithmes de recommandation et leur millier de modérateurs embauchés ne suffisaient pas du tout à contrer une attaque de propagande faite juste par une dizaine de personnes« . […]

https://rmc.bfmtv.com/emission/peut-on-vraiment-lutter-contre-les-contenus-haineux-sur-les-reseaux-sociaux-ca-fait-debat-sur-rmc-1688963.html

[NDLRP : Soutenons notre internet, La Quadrature a besoin de vos dons.]

Le régime de surveillance des Etats-Unis va de nouveau être examiné par les juges européens. Après 3 ans de procédure, l’audience sur notre affaire contre le « Privacy Shield » a enfin été fixée aux 1er et 2 juillet. Retour sur ces 3 années de combat.

En 2000, la Commission européenne a autorisé un accord, appelé « Safe Harbor », pour faciliter le transfert de données personnelles des européens vers les États-Unis.

Le 6 octobre 2015, la Cour de justice de l’Union européenne a invalidé cette autorisation, dans un recours initié par Max Schrems (lire notre réaction de l’époque). Pourquoi ? Car le Safe Harbor laissait les services de renseignement états-uniens accéder aux données des personnes européennes et qu’Edward Snowden venait de révéler l’atteinte massive qui en résultait pour nos libertés.

Le 12 juillet 2016, la Commission européenne a tenté de revoir sa copie : elle a autorisé un nouvel accord de transfert de données vers les États-Unis, le « Privacy Shield » (voir notre réaction).

Le 17 novembre 2016, nous attaquions ce nouvel accord devant le Tribunal de l’Union européenne aux côtés de FFDN et FDN (voir notre saisine commune). Bien qu’un peu moins vague que le Safe Harbor, ce nouveau Privacy Shield continue de permettre des mesures abusives de la part des États-Unis, telles que la surveillance de masse – la Commission le reconnaissait elle même. De plus, pour nous, faire invalider cet accord serait une façon de renforcer la jurisprudence européenne opposée à la surveillance de masse, que nous pourrions ensuite utiliser contre les abus de la loi française.

Le Tribunal de l’Union a jugé notre recours suffisamment grave et sérieux pour ouvrir la procédure. La Commission européenne a du défendre son texte, au secours duquel sont venus de nombreux pays (au premier rang desquels les États-Unis et la France, mais également l’Allemagne, le Royaume-Unis, les Pays-Bas, la République tchèque) et entreprises (Microsoft et Digitaleurope, représentant notamment tous les GAFAM), chacun produisant leurs écritures, auxquelles nous avons du répondre à notre tour (voir notre réponse à la Commission puis celle à ses alliées).

De notre côté, l’UFC Que Choisir est intervenue à notre soutien et l’ACLU (association historique de défense des libertés aux États-Unis) nous a largement aidé pour décrire en détail le régime de surveillance états-unien.

Ces différents échanges d’écritures ont pris fin le 10 avril 2019, où nous avons répondu à une série de questions posées par le Tribunal pour éclairer sa décision. Après presque 3 ans de procédure, le jour de l’audience est donc enfin venu ! Elle se tiendra le 1er et 2 juillet au Luxembourg, nous permettant d’appuyer tous nos arguments à l’oral face à la probable quarantaine d’avocats représentant nos nombreux et si puissants adversaires.

Il s’agira sans nul doute de l’audience la plus importante à laquelle La Quadrature du Net aura jamais participé. Une victoire aurait des conséquences colossales, tant sur notre exposition à la surveillance des États-Unis que sur le droit des pays européens. Nous allons la chercher sans frémir.

La Quadrature du Net, avec 45 organisations de défense des libertés, organisations professionnelles, hébergeurs et FAI associatifs, demandent au gouvernement et au législateur d’agir pour que les grandes plateformes (Facebook, Youtube, Twitter…) deviennent interopérables avec les autres services Internet.

Notre lettre commune (aussi en PDF) reste ouverte à signature par des associations et entreprises (les individus sont vivement encouragés à se l’approprier et à la diffuser autour d’eux). Pour signer, écrivez-nous à contact@laquadrature.net avec « Signature lettre interopérabilité » en objet, puis en précisant le nom de votre organisation dans le mail. Merci !

45 premiers signataires :

• 42l
• AFUL
• Alsace Réseau Neutre
• April
• Aquilenet
• Assodev-Marsnet
• Bee Home
• CECIL
• Creis – Terminal
• Devloprog
• Domaine public
• FACil
• FDN
• Framasoft
• Franciliens.net
• Globenet
• Hadoly
• Hoga
• Iloth
• Illyse
• La Quadrature du Net
• La mère Zaclys
• Labomedia
• Landinux
• Ligue des Droits de l’Homme
• LinuQ
• Lorraine Data Network
• Midway’s Network
• MiNET
• Mycélium
• Nubo scrl-fs
• Observatoire des Libertés et du Numérique
• Parinux
• PauLLA
• Picasoft
• Projet Internet et Citoyenneté
• Revlibre
• Ritimo
• Rhizome
• Sud-Ouest.org
• Stolon
• Syndicat ASSO – Solidaires
• Syndicat des Avocats de France
• T.A.C.T.I.C. asbl
• Tetaneutral
• Yunohost

Aujourd’hui, plus de 42 organisations de défense des droits, soutenues par de nombreux universitaires, ont adressé une lettre aux législateurs européens. Alors que des négociations sont actuellement en cours sur des nouvelles règles pour la Neutralité du Net, les signataires, dont La Quadrature du Net, attirent l’attention des législateurs sur l’utilisation grandissante et incontrôlée des technologies d’Inspection Approfondie des Paquets (Deep Packet Inspection, DPI) faite par les fournisseurs d’accès à Internet.

Cette lettre a été envoyée en anglais (disponible ici) et nous vous en proposons ci-dessous une traduction :

—

Cher Vice-Président Andrus Ansip,
Chère Commissaire Mariya Gabriel,
Chère Commissaire Vera Jourová,
Chère présidente du Comité européen de la protection des données Andrea Jelinek,
Cher président de l’Organe des régulateurs européens des communications électroniques Jeremy Godfrey,

Nous vous écrivons dans le cadre de l’évaluation du règlement (EU) 2015/2120 et de la réforme des lignes directrices du BEREC. Nous sommes particulièrement inquiets de l’augmentation de l’utilisation de technologies d’Inspection Approfondie des Paquets (Deep Packet Inspection, DPI) par les fournisseurs d’accès à internet (FAI). Le DPI est une technologie permettant l’examen des paquets de données transitant à travers un réseau donné, au delà de ce qui est nécessaire aux FAI pour fournir l’accès à internet, en inspectant certaines parties spécifiques des données transmises par l’utilisateur.

Les FAI intègrent de plus en plus des technologies de DPI dans leurs produits, afin de gérer le trafic réseau et de différencier la facturation de certaines applications ou de certains service (zéro-rating par exemple). Le DPI permet aux FAI d’identifier et de distinguer le trafic afin d’identifier celui généré par certaines applications ou certains services, de réaliser une facturation différenciée, de les limiter ou de les prioriser au sein de leur réseau.

Les signataires de cette lettre souhaitent rappeler l’inquiétante pratique de l’analyse des noms de domaines ou des adresses (URL) des sites visités et d’autres ressources internet. L’évaluation de ce type de données peut révéler des informations sensibles au sujet d’un utilisateur telles que ses publications préférées, ses intérêts vis-à-vis de certaines maladies, ses préférences sexuelles ou ses croyances religieuses. Les URL identifient des ressources spécifiques sur le web (telle qu’une image en particulier, un article spécifique dans une encyclopédie, un segment dans un flux vidéo, etc …) et donnent des informations directes sur le contenu d’une communication.

Une cartographie des différentes tarifications des produits dans l’espace économique européen (EEE), conduite en 2018, a identifié 186 produits faisant potentiellement usage du DPI[1]. Parmi ceux-ci, plusieurs produits vendus par des opérateurs de téléphonie mobile ayant de grandes parts de marché ont confirmés l’usage de techniques de DPI car ils fournissent aux opérateurs d’applications ou de services l’option d’identifier leur trafic en utilisant des critères tels que le nom de domaine, le SNI, les URl ou l’écoute du DNS[2].

Actuellement, les lignes directrices du BEREC[3] établissent clairement que la gestion de trafic basée sur la surveillance des noms de domaine et des URL (tel qu’impliqué par la phrase « contenu de la couche protocolaire de transport ») n’est pas une « mesure raisonnable de gestion du trafic » dans le cadre du règlement. Cette règle claire a cependant été ignorée par la plupart des FAI dans leur méthode de gestion du trafic.

La nature du DPI nécessite une expertise en télécommunications et en protection des données. Cependant, nous observons un manque de coopération entre les autorités nationales de régulation des communications électroniques et les autorités de protection des données sur ce sujet, à la fois dans les décisions d’examiner ces produits ainsi que, de manière plus générale, sur des positionnements conjoints sur ces sujets. Par exemple, certains régulateurs justifient l’utilisation du DPI en se basant sur le consentement du client des FAI tout en ignorant l’interdiction claire et cruciale des technologies de DPI par les lignes directrices du BEREC et le fait que les données de l’autre partie dans la communication avec le client (autre partie qui n’a jamais fournit son consentement) ne devraient pas être analysées.

Au regard de l’ampleur et de la sensibilité du sujet, nous incitons la Commission et le BEREC à considérer avec attention l’usage du DPI et son impact sur la protection des données dans le cadre de la réforme en cours du règlement et des lignes directrices sur la neutralité d’Internet. De plus, nous recommandons à la Commission et au BEREC d’examiner l’interprétation du critère de proportionnalité inclus dans le paragraphe 3 de l’article 3 du règlement 2015/2120 conformément au principe de minimisation des données prévu par le RGPD. Enfin, nous suggérons de mandater le Comité européen de la protection des données afin de rédiger des lignes directrices sur l’usage du DPI par les FAI.

Bien cordialement,

Liste des signataires

Universitaires et particuliers :

Kai Rannenberg, Chair of Mobile Business & Multilateral Security, Goethe University
Frankfurt, Germany
Stefan Katzenbeisser, Chair of Computer Engineering, University of Passau, Germany
Max Schrems, Privacy Activist, Austria
Klaus-Peter Löhr, Professor für Informatik (a.D.), Freie Universität Berlin, Germany
Joachim Posegga, Chair of IT-Security, University of Passau, Germany
Dominik Herrmann, Chair for Privacy and Security in Information Systems, University of
Bamberg, Germany
Rigo Wenning, AFS Rechtsanwälte, ERCIM Legal counsel, Vorstand EDV-Gerichtstag, Fitug
e.V., France
Douwe Korff, Emeritus Professor of International Law, London Metropolitan University,
United Kingdom
Dr. TJ McIntyre, UCD Sutherland School of Law, United Kingdom
Dr Ian Brown, Senior Fellow, Research ICT Africa / CyberBRICS visiting professor,
Fundação Getúlio Vargas Direito Rio, Brazil
Dr. Jef Ausloos (Institute for Information Law (IViR) – University of Amsterdam), the
Netherlands
Paddy Leersen LL.M., PhD Candidate University of Amsterdam, Non-Residential Fellow
Stanford University Center for Internet & Society, the Netherlands
Simone Fischer Hübner, Professor in Computer Science, Karlstad University, Sweden
Erich Schweighofer, Head of the Centre for Computers and Law, Department of European,
International and Comparative Law, University of Vienna, Austria
Prof. Dr.-Ing. Christoph Sorge, Saarland University, Germany
Frederik J. Zuiderveen Borgesius, Professor of Law at iCIS Institute for Computing and
Information Sciences, Radboud University

Organisations :

European Digital Rights, Europe
Electronic Frontier Foundation, International
Council of European Professional Informatics Societies, Europe
Article 19, International
Chaos Computer Club e.V, Germany
epicenter.works – for digital rights, Austria
Austrian Computer Society (OCG), Austria
Bits of Freedom, the Netherlands
La Quadrature du Net, France
ApTI, Romania
Code4Romania, Romania
IT-Pol, Denmark
Homo Digitalis, Greece
Hermes Center, Italy
X-net, Spain
Vrijschrift, the Netherlands
Dataskydd.net, Sweden
Electronic Frontier Norway (EFN), Norway
Alternatif Bilisim (Alternative Informatics Association), Turkey
Digitalcourage, Germany
Fitug e.V., Germany
Digitale Freiheit, Germany
Deutsche Vereinigung für Datenschutz e.V. (DVD), Germany
Gesellschaft für Informatik e.V. (GI), Germany
LOAD e.V. – Verein für liberale Netzpolitik, Germany

Entreprises :

Wire Swiss GmbH, Switzerland, Alan Duric, CTO/COO & Co-Founder
Research Institute – Digital Human Rights Center, Austria
Fédération des Fournisseurs d’Accès Internet Associatifs, France
Baycloud Systems, United Kingdom, Mike O’Neill, Director

Tribune d’Arthur.

Emmanuel Macron et Jacinda Ardern, première ministre néo-zélandaise, ont lancé aujourd’hui l’ « appel de Christchurch ». Suite à l’attentat survenu il y a deux mois, cet appel est lancé en réaction au fait que la vidéo de la tuerie aurait largement tourné sur Facebook et Google. Il appelle tous les États à agir pour éviter que cela se reproduise, notamment en collaborant avec les grands réseaux sociaux.

Facebook, qui participait au lancement de la campagne aux côtés de Google, a aussitôt répondu : il empêchera désormais ses utilisateurs les plus suspects de diffuser des vidéos en direct – outil qu’avait utilisé le tueur de Christchurch.

Cette réponse de Facebook est bien à la hauteur des attentes du gouvernement Macron, qui recevait précisément Mark Zuckerberg la semaine dernière : de la poudre aux yeux pour que surtout rien ne change, au mépris de la gravité des événements.

Les pyromanes…

Quand Facebook annonce aujourd’hui limiter l’accès à son service de vidéo en direct, cela n’a rien à voir avec la façon dont la vidéo de Christchurch aurait inondé sa plateforme, tel qu’expliqué il y a deux mois par l’entreprise elle-même. La vidéo n’aurait été visionnée en directe que par 200 personnes… Ce sont les 1,5 millions de copies de la vidéo qui auraient atteint le public, diffusées par des soutiens du tueur. Le tueur aurait pu envoyer la vidéo à ses complices par mail que cela n’aurait rien changé à l’affaire. Facebook le sait très bien et son annonce est aussi hypocrite que méprisante.

Facebook fait mine de prendre conscience du problème de viralité lié à la plateforme en promettant aussi de « renforcer ses intelligences artificielles », encore une fois… Comme si, précisément, la « solution magique » de ses filtres automatisés ne venait pas d’être définitivement décrédibilisée, il y a deux mois, par une poignée d’internautes complices du tueur de Christchurch parvenant à les contourner pendant des jours, manifestement sans grand soucis. D’après Facebook, la première journée, 300 000 copies seraient passé au travers de ses filtres automatisés, n’étant traitées que pas son armée de modérateurs sous-payées et exposés aux pires conditions de travail.

Surtout, Facebook sait très bien que sa plateforme ne peut pas être corrigée, à moins de renoncer à son modèle économique, tout comme Google ou Twitter, véritable cœur du problème. La raison d’être de ces plateformes est de réunir le plus de personnes possibles en un seul endroit, pour les surveiller et leur proposer la publicité qui les influencera le plus.

Il est techniquement et humainement impossible de modérer d’aussi grosses plateformes pour éviter qu’elles ne deviennent des outils de harcèlement, de haine et de mort. Pire, pour maintenir tous nos cerveaux disponibles, leurs « intelligences artificielles » (qui ne se montrent efficaces qu’ici) entretiennent autant que possible la culture du buzz et, par là, le conflit, la caricature, la peur – tout ce qu’il faut pour éviter l’entraide et la cohésion. C’est le prix à payer pour capter plusieurs milliards de cerveaux en même temps, et ils ne renonceront jamais à nous le faire payer (c’est pourquoi nous luttons pour le développement d’un Web décentralisé et à taille humaine). Et, bien sûr, leur emprise s’exerce en marchant sur nos libertés fondamentales, exploitant nos données personnelles et violant le RGPD pour mieux nous contrôler (voir nos plaintes devant la CNIL et la première sanction de celle-ci en réponse contre Google).

… appelés à éteindre l’incendie

Ce sont ces délinquants que le gouvernement appelle aujourd’hui pour sauver leur Web.

Il y a 2 mois, le Parlement européen a adopté en première lecture le règlement terroriste, dont l’objectif principal est de généraliser les filtres automatisés de Google et Facebook à l’ensemble du Web – oui, ces mêmes filtres qui viennent de démontrer toute leur inefficacité. Pour imposer ces filtres à tout le monde, le gouvernement français, qui est à l’initiative de ce texte avec l’Allemagne, n’a pas peur de détruire le Web européen composé d’une multitude de petits acteurs et, ainsi, de laisser les GAFAM en maîtres. En vrai, ces géants s’étant montrés particulièrement coopératifs dans l’ambition de Macron de « civiliser » Internet, ils apparaissent comme des alliés de choix qu’il vaudrait mieux laisser régner (voir notre premier bilan sur le règlement terroriste).

En ce moment, c’est la proposition de loi LREM « contre la haine en ligne » qui reprend cette entente Macron-GAFAM : les géants s’engagent à faire le travail de la police et de la justice sur Internet et, en échange, le gouvernement les présente en « solutions », légitime leur toute puissance, les laisse tranquille et les invite à tous ses événements sur « comment la technologie sauvera le monde ». Comme on l’a vu dans notre dernier article, cette alliance risque aussi de conduire à la censure de critiques anti-Macron ou de mouvements sociaux un peu trop dérangeants…

Bref, quand on demande aux pyromanes d’éteindre l’incendie, ce n’est pas seulement qu’on est à court d’idée et qu’on brasse du vent pour faire genre. C’est aussi car, en vrai, on est soi-même déjà pyromane.