Autoblog de la La quadrature du net

Ce site n'est pas le site officiel de la Quadrature du net.
C'est un blog automatisé qui réplique les articles de laquadrature.net

Le RGPD va rebooter Internet : ouvrons le combat

Fri, 25 May 2018 11:09:49 +0000 - (source)

Tribune de Marne et Arthur, instigateurs de la campagne de plaintes collectives contre les GAFAM

25 mai 2018 - Avant-hier, Emmanuel Macron recevait son homologue Mark Zuckerberg, symbole défait d'un monde dont le glas a sonné ce matin. Sous les traits forcés du dynamisme et de l'innovation, Macron, ne comprenant rien à son époque, fait la cour à des puissances dont le modèle, aussi dépassé qu'illégal, prendra bientôt fin. Les seules structures qui compteront à l'avenir seront les nôtres : celles de l'Internet libre et décentralisé, établies et régulées par le peuple lui-même. C'est la voie qu'a ouvert le RGPD : prenons-la sans détour.

Pour comprendre ce qui commence aujourd'hui avec l'entrée en application du règlement général sur la protection des données (RGPD), repartons d'abord dans le passé... il y a 5 ans, presque jour pour jour.

RGPD, fruit de la plus violente campagne de lobbying américaine

Le 27 mai 2013, La Quadrature du Net publiait son analyse principale en faveur d'un « consentement explicite » dans le RGPD, qui était alors en pleine discussion au Parlement européen. Cette revendication était alors notre combat principal et, aux côtés de nos associations alliées (voir notre campagne Naked Citizens, lancée le 25 avril 2013), nous l'avons gagné.

Ainsi, 5 ans plus tard, depuis ce matin, une entreprise ne peut plus justifier de nous surveiller au motif que nous y aurions « consenti » en oubliant de décocher une case obscure rangée en fin de formulaire ou derrière divers menus (stratégie éculée pour dérober l'accord d'une personne). C'est la victoire du « consentement explicite », c'est ce que continuent de violer Google, Apple ou Amazon, et c'est notamment ce que nous invoquons avec 11 000 autres personnes dans les plaintes collectives que nous déposerons lundi prochain devant la CNIL (et que vous pouvez encore rejoindre).

Avec le recul, ce « consentement explicite », cette arme que nous nous sommes donnés il y a 5 ans, cette victoire, semble irréelle. De l'aveu des parlementaires européens, l'Union européenne n'avait jamais connu de campagne de lobbying aussi intense et brutale que sur le RGPD : c'est toute la Silicon Valley qui descendait dans le Parlement, suivi de sa myriade de syndicats, de groupements, de Think Tanks™ et de serfs européens. Nous avions d'ailleurs recensé les milliers de pages qu'ils envoyaient au Parlement, et le site LobbyPlag les avait analysées pour révéler quels eurodéputés en déposaient et défendaient les propositions. Dans un premier temps, cet effort titanesque de lobbying a largement payé : au 19 mars 2013, chacune des 4 commissions consultatives du Parlement européen avait rendu un avis affaiblissant largement la protection de nos libertés.

Heureusement, le débat a subitement changé de ton lorsque, le 6 juin 2013, Edward Snowden a commencé à révéler les pratiques des renseignements américains. La première de ses révélations publiées, sur le programme PRISM, impliquait directement les mêmes entreprises américaines qui remportaient jusqu'ici le débat européen... Notre victoire doit probablement beaucoup à ces circonstances.

Le 21 octobre 2016, le Parlement européen arrêtait sa première position officielle : les pires de nos inquiétudes en avaient enfin disparues, et nous gagnions sur le consentement explicite. À l'époque, nous regrettions pourtant amèrement les nombreuses failles qui, existantes depuis la première réglementation européenne de 1995, avaient été maintenues dans RGPD (et y sont encore aujourd’hui). Au premier rang d'entre elle : l'« intérêt légitime » (nous y revenons ci-dessous).

Peu de nouveautés

Définitivement signé le 27 avril 2016, le RGPD aura finalement apporté peu de protections nouvelles pour nos libertés. En plus du « consentement explicite » que nous avions réussi à obtenir, les avancées, bien que considérables, sont surtout procédurales : les CNIL pourront prononcer des sanctions à hauteur de 20 millions d'euros ou 4% du chiffre d'affaire mondial de la société visée (la plus haute des deux valeurs est retenue) et, pour les pousser à agir fermement, elles pourront être saisies par des plaintes collectives réunissant des milliers de personnes (c'est ce que nous faisons !).

À côté de ça, tous les grands principes de la protection de données (conditions de licéité, données sensibles, loyautés, etc.) ainsi que la majorité de nos « droits » (d'accéder à nos données, de les rectifier, etc.) ont été repris presque à l'identique de la directive européenne initiale de 1995. Le règlement crée bien aussi un nouveau droit à la portabilité, mais son intérêt pratique reste encore à trouver.

De plus, comme on l'a vu, le RGPD ne s'est pas contenté d'hériter des forces de la directive de 1995, il a aussi hérité de sa faille principale : il autorise toute entreprise à collecter et utiliser des données personnelles si elle y trouve un « intérêt légitime » (un intérêt économique, structurel...) et que la poursuite de cet intérêt ne porte pas une « atteinte disproportionnée » aux intérêts des personnes concernées. Oui, ce « critère » est particulièrement flou et tordu, et c'est hélas bien son but : « pour l'instant, vous avez le droit de faire ce que vous voulez, et on viendra vérifier plus tard, si on a le temps, que vous n'ayez pas trop dépassé les bornes ».

Heureusement, les CNIL européennes (réunies au sein de « groupe de l'article 29 ») ont pris position, dès 2014, pour affirmer que l'analyse comportementale à des fins de ciblage publicitaire ne devraient pas pouvoir constituer un tel « intérêt légitime », et ne devrait donc être autorisée qu'avec notre consentement (voir son avis 06/2014, p. 45). C'est un des arguments que nous opposons notamment à Google dans nos plaintes collectives - car celui-ci ose bel et bien invoquer son « intérêt légitime » pour justifier la surveillance de masse dont il tire sa fortune.

Une arme puissante

Mais alors, si le RGPD apporte si peu de nouveautés, pourquoi y trouverions-nous l'espoir de changements majeurs ? Son principal effet, en vérité, n'est pas tant d'avoir modifié le droit que d'en permettre enfin l'application.

En théorie, depuis longtemps, le droit des données personnelles pourrait être une arme puissante pour nous protéger : l'analyse comportementale n'est possible qu'avec notre consentement (qui doit désormais être explicite) et, surtout, ce consentement doit être libre.

Insistons encore une fois sur la notion de consentement libre, qui est au cœur de nos plaintes collectives. C'est bien là que se trouve le germe du changement à venir : le droit des données personnelles prévoit, depuis plusieurs années (voir dernièrement la décision rendue en France par la CNIL sur Whatsapp, fin 2017) que notre consentement n'est pas valide s'il est une condition pour accéder à un service. Le consentement n'est pas « libre » s'il est donné sous la menace de subir une conséquence négative. Il n'est pas valide s'il est assimilé à la contrepartie d'un contrat, à un prix.

Ce principe est simple à comprendre : céder ses données, c'est renoncer à son droit fondamental à la protection de la vie privée, à la liberté de conscience, à l'intégrité. Or, heureusement, nos principes démocratiques s'opposent à la marchandisation de nos libertés fondamentales (sans quoi la moindre « égalité des droits » ne bénéficierait qu'à ceux pouvant se l'acheter).

Pour résumer, depuis plusieurs années, les modèles économiques de Facebook ou Google n'ont, juridiquement, aucune raison d'exister : ils se financent grâce à une analyse comportementale de masse à des fins publicitaire. Or cette analyse n'est possible qu'avec notre consentement. Nous devrions donc pouvoir accéder à leur service tout en refusant de donner ce consentement : mais si nous avions véritablement cette possibilité, la très grande majorité d'entre nous refuserait cette surveillance.

Leur modèle est illégal et juridiquement absurde depuis longtemps. Le seul problème, en vérité, c'est que personne n'avait le pouvoir, ou la volonté, de les arrêter. C'est cela, et surtout cela, qui a changé ce matin.

Alors que, en France par exemple, jusqu'en 2016, la CNIL ne pouvait prononcer des sanctions qu'à hauteur de 150 000 €, ce qui était inutile contre Google ou Facebook (qui ont d'ailleurs bien été condamnés à payer cette somme), le montant de l'amende pourra désormais atteindre 4 % de leur chiffre d'affaire mondial. Et, au cas où les CNIL manqueraient de la volonté pour ce faire, les plaintes collectives sont maintenant là pour, enfin, rendre la population actrice de ce processus : si les CNIL, saisies par des milliers de personnes sur une même plainte, n'agissent pas, elles perdront toute légitimité.

Nous pouvons enfin oublier notre sentiment de « à quoi bon lutter contre ces géants ? ». Si cette amertume était entièrement justifiée hier, elle ne l'est plus aujourd'hui. Pour eux, la fête est finie. Elle commence pour nous.

Retour à l'Internet des origines

Le RGPD laisse l'espoir de voir enfin le droit protéger nos données contre des géants qui, y trouvant leur fortune, ont entièrement remodelé Internet.

Internet, dans ses principes fondamentaux, repose sur la décentralisation : la puissance de calcul, le stockage et l'usage de bande passante sont répartis sur un nombre infini de points du réseaux (nos ordinateurs et téléphones ainsi qu'une multitude de serveurs) dont l'interconnexion et le travail collectif ne dépendent d'aucune autorité centrale. C'est ce qui lui permet d'être si résilient, de voir constamment apparaître de nouvelles structures et de nouveaux usages, dont chacune et chacun peut être l'acteur, et ainsi d'offrir une alternative libre et vivante à notre monde physique, si bordé et normé qu'il est par des organisations aussi centralisées que rigides, incapables de s'adapter et de répondre aux préoccupations de la population.

C'est cet idéal des origines qui a conduit à l'essor d'Internet, pendant que le Minitel français, hyper centralisé, connaissait le cuisant échec dont nous nous réjouissons encore. Et pourtant, sur ce même Internet, nous avons vu apparaître Facebook, Youtube, Instagram ou Twitter, qui ne sont rien d'autre que de nouveaux Minitels (pour une comparaison utile, on peut revoir la conférence « Minitel 2.0 » dans laquelle Benjamin Bayart défendait la neutralité du Net - que nous avons d'ailleurs fini par obtenir, ici encore !) .

Sur ces nouveaux Minitels, nos relations, nos créations et nos débats sont entièrement régulés par des autorités centrales, selon leurs propres critères qui, chaque fois et afin d’accroître leurs recettes publicitaires, distordent entièrement l'espace public. Symptômes chroniques des effets de cette centralisation, celle-ci conduit à la sur-diffusion de vidéo anxiogènes et polémiques (voir notre analyse sur Google), de fakenews et de débats caricaturaux, stériles (voir notre analyse sur les fakenews). À l'opposé, sur des réseaux décentralisés, de tels contenus ne sont pas mis en avant et, surtout, ne nuisent pas à l'ensemble des internautes, puisque ceux-ci choisissent librement avec qui communiquer et selon quelles règles, en fonction du nœud où ils ont choisit de s'installer sur le réseau.

Comment en est-on arrivé à cette hyper-centralisation de l'Internet ? Il suffit de regarder la source des revenus de ces nouveaux Minitels pour comprendre que l'analyse comportementale à des fins publicitaires a été décisive dans leur essort. Or, ce levier économique, la source financière de cette centralisation, on l'a dit, est aujourd'hui obsolète. À court terme, quand le droit sera enfin appliqué, on voit mal comment Facebook, typiquement, pourra continuer de fournir son service « gratuitement » (sans publicité ciblée) et comment il pourra donc survivre. C'est donc le modèle-même de cette centralisation qui est aujourd'hui remis en cause puisque, historiquement, celle-ci n'a été possible qu'au moyen de pratiques qui ne seront plus possibles.

Évidement, on soulignera que le capitalisme, comme toujours, s'adaptera, et que la centralisation trouvera des nouvelles façons de se financer. Mais force est de constater que ces rebondissements tardent ici à se faire connaître alors que nous, en face, avons déjà notre modèle. Jusqu'à nouvel ordre, c'est donc celui qui primera.

Bref, nous avons déjà gagné.


Écrivons ensemble les plaintes contre les GAFAM

Mon, 21 May 2018 14:09:10 +0000 - (source)

21 mai 2018 - Depuis plus d'un mois, nous vous invitons à rejoindre les 12 plaintes collectives contre les services des GAFAM. Aujourd'hui, nous vous proposons de rédiger ces plaintes avec nous. Pour laisser le temps aux retardataires de nous rejoindre, nous déposerons la plainte le lundi suivant l'entrée en application du RGPD : le 28 mai.

Ecrivons tous la plainte
Les plaintes se concentrent volontairement sur une poignée d'arguments ciblés autour des notions de consentement et de surveillance économique. Le projet de plainte que nous publions aujourd'hui reflète ce cadrage : les arguments sont précis et assez courts. De quoi inciter à participer celles et ceux pour qui les nouages juridiques aussi complexes que rigolos ne sont pas un passe-temps relaxant !

Que vous passiez relire l'orthographe et la grammaire, que vous proposiez des reformulations de style ou bien carrément de nouvelles sources ou arguments juridiques, votre participation sera grave la bienvenue ! Votre participation sera aussi une occasion de plus de rendre ces plaintes pleinement « collectives », d'un bout à l'autre !

Venez sur notre pad de rédaction des plaintes.

Merci de faire tout ça avec nous ! <3


Derrière les assistants vocaux, des humains vous entendent

Fri, 18 May 2018 14:38:17 +0000 - (source)

18 mai 2018 - Cette semaine, nous sommes allés à la rencontre de Julie, qui a travaillé pour une entreprise chargée d' « améliorer » le fonctionnement de Cortana, l’assistant vocal de Microsoft, en écoutant une à une diverses paroles captées par la machine (volontairement ou non).

Nous partageons ici son témoignage édifiant, en vidéo ainsi qu'à l'écrit (en fin d'article).

Comme nous le rappelle Antonio Casilli ci-dessous, ce récit souligne exactement les pratiques très « humaines » que l'on retrouve en masse sous les miroirs trompeurs d'une soi-disant « intelligence artificielle ».

Contre l'emprise des GAFAM sur nos vies, signez les plaintes collectives sur gafam.laquadrature.net

Les humains derrière Cortana, par Antonio Casilli

Antonio Casilli, membre de La Quadrature du Net, est maître de conférences en Digital Humanities à Telecom ParisTech et chercheur associé en sociologie au Centre Edgar-Morin, Ecole des Hautes Etudes en Sciences Sociales, Paris. Voir son site.

Qui écoute vos conversations quand vous utilisez un assistant vocal comme Cortana ? Qui regarde vos requêtes quand vous utilisez un moteur de recherche comme Bing ? « Personne », vous assurent les concepteurs de ces dispositifs, « ce sont des machines ». La réalité est toute autre, comme l'atteste ce témoignage : une jeune femme qui, sans contrat de travail et sans aucun accord de confidentialité, a retranscrit des milliers de conversations privées, recherches d'information, noms et coordonnées personnelles de personnes utilisant des produits Microsoft.

Son métier ? Dresseuse d'IA.

Malgré les allégations de leurs producteurs, les assistants virtuels qui équipent les enceintes connectées trônant dans nos salles à manger ou qui se nichent jusque dans nos poches, installés sur nos smartphones, ne naissent pas intelligents. Ils doivent apprendre à interpréter les requêtes et les habitudes de leurs utilisateurs.

Cet apprentissage est aidé par des êtres humains, qui vérifient la pertinence des réponses des assistants virtuels aux questions de leurs propriétaires. Mais plus souvent encore, ces êtres humains « entraînent » les dispositifs, en leurs fournissant des données déjà préparées, des requêtes avec des réponses toutes faites (ex. « Quelle est la météo aujourd'hui ? » : « Il fait 23 degrés » ou « Il pleut »), des phrases auxquelles ils fournissent des interprétations (ex. savoir dans quel contexte « la flotte » signifie « un ensemble de navires » ou « la pluie »).

Ces dresseurs d'intelligences artificielles sont parfois des télétravailleurs payés à l'heure par des entreprises spécialisées. Dans d'autres cas, ils sont des « travailleurs à la pièce » recrutés sur des services web que l'on appelle des plateformes de micro-travail.

Celle de Microsoft s'appelle UHRS et propose des rémunérations de 3, 2, voire même 1 centime de dollar par micro-tâche (retranscrire un mot, labelliser une image…). Parfois les personnes qui trient vos requêtes, regardent vos photos, écoutent vos propos sont situés dans votre pays, voire dans votre ville (peut-être vos voisins d'en bas ?). D'autres fois, ils sont des travailleurs précaires de pays francophones, comme la Tunisie, le Maroc ou Madagascar (qui s'est dernièrement imposé comme « leader français de l'intelligence artificielle »

Les logiciels à activation vocale tels Cortana, Siri ou Alexa sont des agents conversationnels qui possèdent une forte composante de travail non-artificiel. Cette implication humaine introduit des risques sociétaux spécifiques. La confidentialité des données personnelles utilisées pour entraîner les solutions intelligentes est à risque. Ces IA présupposent le transfert de quantités importantes de données à caractère personnel et existent dans une zone grise légale et éthique.

Dans la mesure où les usagers des services numériques ignorent la présence d'êtres humains dans les coulisses de l'IA, ils sous-estiment les risques qui pèsent sur leur vie privée. Il est urgent de répertorier les atteintes à la privacy et à la confidentialité associées à cette forme de « digital labor », afin d'en estimer la portée pour informer, sensibiliser, et mieux protéger les personnes les plus exposées.

Témoignage complet de Julie

J'ai travaillé comme transcripteuse ('transcriber') pour améliorer la qualité de la version française de Cortana, "votre assistante personnelle virtuelle" proposée par Microsoft. Je travaillais en télétravail pour une entreprise chinoise qui avait Microsoft pour client. J'ai commencé en Avril 2017 et arrêté en Décembre 2017.

J'ai pu constater directement le type de données que Microsoft collecte via son petit monstre Cortana, car les données audio qu'elle collectait passaient entre nos mains (et nos oreilles !) pour analyse et correction.

Microsoft, voulant améliorer les capacités de compréhension de Cortana, collectait les données des utilisateurs 'consentants'. Donc, quand ces utilisateurs s'adressaient à Cortana, celle-ci collectait, enregistrait ce qu'ils disaient. Ensuite, Microsoft récupérait tout ça, envoyait une partie des enregistrements à la compagnie pour laquelle je travaillais, et celle-ci mettait le tout sur notre plate-forme de télétravail.

Les transcripteurs se connectaient, et écoutaient un par un les enregistrements. Les pistes étaient généralement très courtes, entre 3 et 15 secondes en moyenne (mais pouvaient parfois durer plusieurs minutes). En fonction des projets sur lesquels on travaillait, on devait réaliser entre 120 et 170 transcriptions/heure. Plusieurs milliers de pistes étaient déposées quotidiennement sur notre plate-forme.

On écoutait l'enregistrement audio, ensuite un texte s'affichait, nous montrant ce que Cortana avait compris et retranscrit. Notre travail était de vérifier si elle avait bien compris - si ce n'était pas le cas, on devait corriger le texte, la moindre faute de compréhension, de conjugaison ou d'orthographe. Une autre partie du travail consistait à ajouter des tags dans le texte signalant les événements sonores qui pourraient expliquer pourquoi Cortana avait mal compris ceci ou mieux compris cela.

Je n'ai pas le détail de la suite du processus, mais j'imagine qu'ensuite, les données que nous corrigions étaient envoyées à une équipe de techniciens, programmeurs et autres génies de l'informatique qui s'occupaient de faire comprendre à Cortana comment ne pas répéter les mêmes erreurs.

Je me demandais à chaque fois si ces gens avaient conscience qu'une personne extérieure allaient entendre leurs petits délires sexuels

Les données qu'on écoutait allaient d'Utilisateur A qui dit simplement "Hey Cortana, quelle sera la météo demain?" à Utilisateur B qui demande en chuchotant à Cortana de lui trouver des vidéos porno de telle ou telle catégorie...

Il y avait leurs recherches internet, leurs interactions directes avec Cortana ("Hey Cortana, raconte-moi une blague", "imite la poule", "est-ce que tu m'aimes?", "est-ce que tu ressens la douleur?"…). Les utilisateurs peuvent aussi dicter du texte : messages, documents texte (résumés de cours, comptes-rendus professionnels...), adresses GPS, courriers administratifs (avec par exemple leur numéro de sécurité sociale), etc. ; nous avions accès à tout ça.

Elle peut être connectée à des consoles Xbox, on avait donc aussi des enregistrements provenant de ce service-là. Il y avait notamment des morceaux de communication en ligne (principalement d'ados et d'enfants) qui discutent sur les jeux en réseaux.

On avait également de nombreux extraits de conversations en ligne, sûrement sur Skype, provenant de personnes qui utilisaient un service de traduction instantanée (Microsoft Translator mais peut-être aussi Skype Translator, je ne suis pas certaine).

Nous n'avions jamais l'intégralité des conversations évidemment, elles étaient découpées en petites pistes ; cependant on pouvait tomber sur plusieurs morceaux d'une même conversation dans une même série de transcriptions (c'était suffisant pour dresser un profil basique de l'utilisateur ou de son humeur du moment par exemple).

On avait des conversations diverses, vraiment toutes sortes de choses, notamment souvent les séances sexcams de certains utilisateurs qui avaient besoin d'un service de traduction pour se faire comprendre, et dans ces cas-là les transcriptions étaient très explicites (parfois amusantes, parfois glauques). Je me demandais à chaque fois si ces gens avaient conscience qu'une personne extérieure allaient entendre leurs petits délires sexuels. Cortana ne fait pas le tri...

Enfin, il y avait beaucoup d'enregistrements involontaires, où des personnes discutent entre elles (dans leur voiture, à la maison, avec leurs enfants sur le chemin de l'école...) tandis que Cortana est dans les parages (tablette, téléphone portable, ordinateur, etc.) et s'est déclenchée de manière non-sollicitée et a tout enregistré.

(D'ailleurs, on avait aussi beaucoup d'utilisateurs qui insultaient tout simplement Cortana, car elle s'était déclenchée de façon non-sollicitée, ou avait mal compris une requête... Vous n'imaginez pas le nombre de fois où j'ai entendu "Sale pute Cortana !" )

On avait ainsi accès à énormément de données personnelles, que ce soit des bribes de conversations privées en ligne ou bien hors ligne.

N'importe qui pouvait être engagé

Pour pouvoir être embauché (ils recrutaient en grand nombre), il fallait s'inscrire sur le site de l'entreprise, postuler puis suivre une formation en ligne conclue par un examen final. Si on avait un pourcentage de réussite satisfaisant, on était engagé. Auquel cas, le manager nous faisait créer un compte sur le site internet de télétravail (une plate-forme externe, utilisée par plusieurs compagnies comme celle qui m'avait engagée), et le travail commençait.

Il n'y avait pas besoin d'envoyer son CV, ni aucun entretien individuel avec un responsable ou un manager (ni par téléphone, ni par Skype, ni e-mail, rien). N'importe qui pouvait être engagé et avoir accès aux enregistrements du moment qu'ils en avaient les compétences techniques, que l'examen final avait été réussi. Pourtant, nous avions accès à des informations sensibles et personnelles.

Beaucoup de personnes ignorent ou oublient que les données collectées par Cortana (et autres outils du genre) ne sont pas uniquement traitées par des robots, mais bien aussi par des êtres-humains.

En m'inscrivant sur le site de l'entreprise, j'ai accepté ses conditions d'utilisations en cochant machinalement des petites cases, celles-ci parlaient d'une multitudes de choses, mais à ce que je me souviens il n'y avait pas d'emphase spéciale sur le respect de la vie privée des utilisateurs de nos clients. Et à aucun moment j'ai signé de ma main un contrat de confidentialité.

Ils m'ont pourtant bien demandé de signer et renvoyer un document relatif aux taxes et impôts ; ils auraient pu en faire autant pour le respect de la confidentialité.

Et sur plus d'une cinquantaine de pages d'instructions détaillées sur comment traiter les transcriptions, pas une seule ligne ne mentionnait le respect de la vie privée des utilisateurs. Pas un seul des nombreux e-mails du manager que nous recevions chaque semaine, rien n'a jamais été dédié au respect de la vie privée (en ligne et hors ligne) des utilisateurs.

Et ce dont je parle ici ne concerne pas uniquement les utilisateurs français de Cortana, il y avait des équipes de transcripteurs pour une multitudes de langues (anglais, portugais, espagnol, etc.). On avait le même manager et les mêmes instructions générales.

En théorie, les données étaient anonymes pour les transcripteurs, c'est-à-dire que nous n'avions jamais les identifiants des utilisateurs que nous écoutions, et les pistes étaient généralement distribuées de façon aléatoire et désordonnée, en plus d'être parfois découpées. Cependant, inévitablement il arrivait que les utilisateurs révèlent un numéro de téléphone, une adresse, des coordonnées, date de naissance, numéros importants, événements auxquels ils allaient se rendre, etc.

Certaines voix se reconnaissent facilement, et bien que les pistes étaient aléatoires et dans le désordre, mises bout à bout elles auraient dans quelques cas pu suffire à un transcripteur déterminé pour identifier un utilisateur. De plus, on travaillait tous depuis nos propres ordinateurs, il était donc facile de récupérer les enregistrements qu'on traitait si on le voulait.

Selon moi, ce n'était pas bien sécurisé, surtout quand on considère le fait qu'on avait aussi beaucoup d'enregistrements provenant d'enfants. Mais il faut comprendre que ce genre de traitement de données est de toute façon impossible à sécuriser entièrement (encore moins quand on sous-traite), car des données récoltées massivement ne peuvent pas être triées parfaitement, des informations sensibles passeront toujours.

Beaucoup d'utilisateurs se sentent dépassés par tout ça, et les GAFAM savent exactement comment en tirer parti

Enfin, j'aimerais parler du fait qu'il me semble évident que la plupart des logiciels de reconnaissance vocale et assistants virtuels doivent se construire comme Cortana, donc il est important que les gens mesurent ce qu'utiliser de tels logiciels implique (ce que j'ai décrit n'est assurément pas juste typique à Microsoft).

Avec l'affluence des nouveaux ''assistants personnels virtuels'', le champs des possibles pour la collecte de données s'est développé de manière fulgurante.
Le modèle de Microsoft (et les autres GAFAM) n'est pas basé sur le respect de la vie privée et la non-intrusion, c'est le contraire.

Les outils comme Cortana sont hautement intrusifs et ont accès à une liste impressionnante de données personnelles, qu'ils exploitent et développent simultanément.

La collecte de données qu'ils peuvent permettre peut être utilisée à votre insu, détournée, utilisée contre votre gré, tombée entre de mauvaises mains, être exploitée à des fins auxquelles vous n'avez jamais consciemment donné votre accord…

Personnaliser les paramètres de confidentialité de services de ce genre requiert parfois des compétences en informatique qui dépassent l'utilisateur amateur, et des écrans de fumée font oublier que vous sacrifiez et marchandez votre vie privée à l'aide de formules comme "personnalisation du contenu", "optimisation des résultats", "amélioration de votre expérience et de nos services".

Beaucoup d'utilisateurs se sentent dépassés par tout ça, et les GAFAM savent exactement comment en tirer parti.

Merci beaucoup à Julie pour son témoignage !

Contre l'emprise des GAFAM sur nos vies, signez les plaintes collectives sur gafam.laquadrature.net


Newsletter #78

Thu, 17 May 2018 17:07:55 +0000 - (source)

Salut à toutes et à tous !

Voici la newsletter 78 de La Quadrature du Net !

Sommaire

L'activité de La Quadrature du Net

Newsletter, le retour

La newsletter de La Quadrature est enfin de retour !
Pourquoi un tel silence ? L'équipe des salariés de l'association a connu une recomposition importante, après le départ de Chris et d'Adrienne à la fin de l'été 2017. Il a fallu redistribuer les rôles, prendre ses marques en tâtonnant un peu. Et puis l'automne et l'hiver ont été chargés, entre la campagne de dons (un grand merci pour votre soutien renouvelé pour une année !), l'organisation du CCC (https://www.ccc.de/en/) - nouvellement installé à Leipzig - et une actualité politique animée - grâce aux diverses lois imaginées par le gouvernement Macron et à notre nouvelle campagne pour la protection des données personnelles.
Cette newsletter présente donc l'essentiel de l'actualité de ces trois derniers mois (janvier-mars 2018), pour ceux qui nous suivent de loin. Si vous cherchez des infos plus détaillées et surtout plus fréquentes sur nos actions, le bulletin QPSTAG (Que se passe-t-il au Garage ?) est diffusé chaque semaine sur la liste discussion@laquadrature.net.
Inscrivez-vous aux listes de diffusion ici : https://wiki.laquadrature.net/Listes_de_discussion

Nouveaux membres

Le 12 mars dernier, nous avons annoncé l'arrivée de nouveaux membres au sein de l'association, avec deux objectifs : acter l'engagement de bénévoles parmi les plus proches et les plus impliqués, et ouvrir l'espace de réflexion de l'association en accueillant des compétences et des sensibilités plus diverses. La première AG de ce nouveau groupe de travail a eu lieu pendant le week-end de Pâques, du samedi 31 mars au lundi 2 avril.
Une annonce à lire ici : https://www.laquadrature.net/fr/ouverture_nouveaux_membres

Campagne de dons 2017-2018

Merci beaucoup ! Grâce à vous, nous avons rassemblé assez d'argent pour faire fonctionner l'association jusqu'à la fin de 2018. Le bilan est en ligne sur notre site. Rendez-vous à la fin de l'année pour tenter de prolonger l'action une année encore !
Le bilan de campagne à lire ici :https://www.laquadrature.net/fr/bilan_campagne_dons_2017

Données personnelles sur tous les fronts

C'est le gros sujet de ce début d'année !
Entre l'entrée en application du RGPD à partir du 25 mai, la discussion autour du projet de loi sur les données personnelles, et l'affaire Cambridge Analytica qui met à jour le modèle économique de Facebook et d'innombrables autres sociétés du web, le problème de l'exploitation illégale de nos données personnelles a connu en ce début d'année un gros regain d'intérêt dans les médias. La Quadrature du Net a participé au débat à chaque fois qu'elle en a eu l'occasion.

Données personnelles : le projet de loi

Mi-mars, le projet de loi données personnelles était au Sénat. La commission en charge du dossier a refusé d'amender le texte pour encadrer les activités des services de renseignement, malgré les obligations édictées par la directive européenne. La Quadrature du Net a donc rédigé des amendements et invité les sénateurs et sénatrices de tous bords à les soutenir. Notre appel a été entendu, et nos amendements les plus importants ont été déposés et soutenus. Un seul a été accepté, concernant le chiffrement.
Début avril, après le vote du projet de loi au Sénat, est arrivée l'heure de la commission mixte paritaire, chargée de trouver un accord entre les deux textes votés à l'Assemblée nationale et au Sénat. À la veille de ce moment important, l'Observatoire des Libertés et du Numérique (OLN), dont fait partie La Quadrature du Net, a publié une lettre adressée aux parlementaires. Elle réaffirmait les points cruciaux à nos yeux, comme le droit au chiffrement et à la portabilité des données.
La commission mixte paritaire s'est finalement séparée sans arriver à un accord. Le texte repart donc pour une nouvelle navette entre les deux chambres.
Invitation à soutenir nos amendements au Sénat : https://www.laquadrature.net/fr/pjl_rgpd_senat_com
Nos amendements (PDF) : https://www.laquadrature.net/files/amendements_lqdn_pjl_rgpd_27_02_2018.pdf
Lettre ouverte de l'OLN aux membres de la CMP : https://www.laquadrature.net/fr/cmp_pjl_rgpd

Action de groupe contre les GAFAM

Le RGPD entre en application le 25 mai, mais nous avons des doutes sur le fait qu'il soit bien appliqué comme il se doit. Est-ce que des entreprises comme Facebook ont vraiment l'intention de cesser cette surveillance de masse dont elles tirent tous leurs profits ? On en doutait alors on a pris les devants. Le 16 avril, on a lancé une campagne visant à récolter un maximum de mandats pour mener UNE ACTION DE GROUPE CONTRE LES GAFAM !!! La CNIL pourra, à partir du 24 mai, sanctionner à hauteur de 4% du chiffre d'affaires mondial mais si on veut qu'elle agisse il faut qu'on soit nombreux à rejoindre l'action de groupe.
Rejoignez l'action : gafam.laquadrature.net !!!!
Sur le site vous trouverez chaque semaine une vidéo expliquant pourquoi on attaque chacun des GAFAM et un texte d'analyse lié.
Vous pouvez aussi créer et partager vos affiches ici : https://gafam.laquadrature.net/#poster
Rejoignez-nous dans notre action (pour rappel, les particuliers donnant mandat à La Quadrature dans le cadre de cette action de groupe ne prennent aucun risque personnel, que ce soit sur un plan juridique ou financier) et faites circuler l'information autour de vous !

Données personnelles : ePrivacy

Certaines dispositions du RGPD, protectrices pour les utilisateurs, gênent beaucoup les entreprises privées qui prospèrent actuellement sur l'exploitation de nos données personnelles. Certaines d'entre elles (publicitaires et groupes de presse en tête) ont donc écrit au gouvernement français (PDF) pour le supplier de réintroduire dans le règlement ePrivacy (toujours en discussion) des dispositions qui leur permettraient de continuer leur juteux business. « L’économie de la donnée est un pilier de la croissance, de la création d’emplois et du progrès » : le gouvernement de la « Start-up Nation » n'a pas dû être très difficile à convaincre avec de telles phrases. La Quadrature adresse à son tour une lettre ouverte aux ministres.
Un lettre ouverte à lire ici : https://www.laquadrature.net/fr/eprivacy_marchandisation

Surveillance : Marseille, ville laboratoire

La mairie de Marseille veut déployer un « observatoire Big Data de la tranquillité publique », confié à une entreprise privée : ce grand fourre-tout sécuritaire agrègera des informations venues des services de police, des pompiers, de la justice, de la sécurité routière, de la vidéosurveillance urbaine, des hôpitaux et même de la météo pour prédire les zones d'espace et de temps où des faits de délinquances sont susceptibles d'avoir lieu. Les habitants seront aussi invités à alimenter la base de données, à l'aide d'une application mobile, dans le genre de celle que lance de son côté la ville de Nice (Reporty).
Félix Tréguer, président de La Quadrature du Net et habitant de Marseille, a exercé le droit d'accès aux documents administratifs que détient chaque citoyen pour obtenir le Cahier des Clauses Techniques Particulières qui décrit le objectifs et les moyens du dispositif.
Il livre son analyse.
Une tribune à lire ici : https://www.laquadrature.net/fr/surveillance_big_data_marseille

Opérateurs téléphoniques : que savent-ils de nous ?

Les opérateurs téléphoniques collectent une grande quantité de données personnelles à travers nos téléphones (métadata de nos échanges, géolocalisation, etc.) : mais lesquelles précisément, et sont-ils prêts à le reconnaître ? Pour le savoir, quatre bénévoles de La Quadrature du Net ont écrit aux quatre grands opérateurs mobiles français (Orange, Free Mobile, Bouygues Telecom et SFR) pour leur demander l'accès, autorisé par la loi, aux données personnelles détenues par leurs fournisseurs téléphoniques respectifs. Trois mois plus tard, aucune réponse satisfaisante. Mais l'étape suivante était prévue : quatre plaintes ont donc été déposées auprès de la CNIL, une contre chaque opérateur. On attend désormais les réponses...
Une histoire à suivre, à lire ici : https://www.laquadrature.net/fr/conservation_operateurs

Au secours, les recours !

Quand une loi est votée, on peut encore la changer : il suffit de l'attaquer devant le Conseil constitutionnel – et de gagner. C'est ce à quoi s'emploient La Quadrature du Net, FDN et la Fédération FDN, dans le groupe informel des Exégètes amateurs. Mais cet hiver, deux recours devant le Conseil constitutionnel ont reçu un jugement défavorable.
D'abord, le « recours Chambord », jugement rendu le 2 février dernier : il s'agissait de rendre à tous le droit de photographier les monuments nationaux. Malheureusement, le Conseil constitutionnel a confirmé le « droit à l'image » consenti en 2016 aux gestionnaires de ces momuments. Une décision que Lionel Maurel, membre fondateur de La Quadrature du Net, analyse en détail dans ses conséquences.
Le 4 mars, le Conseil constitutionnel a rejeté le recours déposé pour contester l'obligation faite à une personne gardée à vue de remettre à la police ses clefs de chiffrement. Une décision assortie de conditions (l'aval d'un juge, en particulier), mais une déception expliquée dans notre analyse.
Décision Chiffrement : texte du recours https://www.laquadrature.net/fr/conseil-constitutionnel-clefs-chiffrement et décision du Conseil constitutionnel https://www.laquadrature.net/fr/le-conseil-constitutionnel-restreint-le-...
Décision Chambord : https://www.laquadrature.net/fr/apres-d%C3%A9cision-chambord-comment-sortir-d-un-domaine-public-residuel

FAKE NEWS, FAUX DÉBAT

Emmanuel Macron veut une loi pour interdire les « fake news », les fausses nouvelles et les manipulations médiatiques en ligne qui ont connu leur heure de gloire au moment de l'élection de Donald Trump aux États-Unis d'Amérique. La Commission européenne se pose elle aussi la question de savoir si elle peut aussi légiférer de son côté. La Quadrature du Net a donc répondu à sa consultation, pour dire non : la question des fake news est un faux problème, il s"agit avant tout d'un problème de logique économique desplateformes et des réseaux sociaux.
Une réponse à consultation à lire ici : https://www.laquadrature.net/fr/consultation_fake_news


Revue de Presse

Action contre les GAFAM


Pourquoi attaquer Apple ?

Fri, 11 May 2018 14:55:38 +0000 - (source)

11 Mai 2018 - Le troisième monstre qu'on attaque, c'est Apple. Il est bien différent de ses deux frères déjà traités ici (Google et Facebook), car il ne centre pas ses profits sur l'exploitation de nos données personnelles. Ce géant-là est avant tout un géant de la communication, il sait donc bien se donner une image d'élève modèle alors qu'il n'est pas irréprochable... ni inattaquable !

Contre l'emprise des GAFAM sur nos vies, allez dès maintenant sur gafam.laquadrature.net signer les plaintes collectives que nous déposerons le 25 mai devant la CNIL.

L'entreprise Apple

Apple, c'est 200 milliards d'euros de chiffre d'affaires annuel et tout autant de réserve en trésorerie (pour comparer, le budget annuel de l'État français est d'environ 300 milliards). En bourse, l'ensemble des actions de l'entreprise vaudrait maintenant 1 000 milliards de dollars, ce qui en fait la première capitalisation boursière du monde.

Fondée en 1976, notamment par Steeve Jobs et bien avant l'avènement d'Internet, l'entreprise se centre sur la vente de ses propres ordinateurs, équipés de systèmes d'exploitation qu'elle développe elle-même.

En 1984, Apple annonce le lancement de son Macintosh au moyen d'une publicité vidéo réalisée par Ridley Scott, naïvement intitulée « 1984 » et posant l'entreprise en rempart contre une future société de surveillance (la vidéo originale est disponible sur YouTube, mais nous lui préférons le détournement qu'en ont fait nos amis de la Startuffe Nation !). Tout comme le slogan interne de Google, « Don't be evil », la posture prise en 1984 par Apple n'est finalement qu'une sinistre anti-prophétie : l'entreprise jouera bien un rôle décisif dans la transformation des outils numériques en moyens d'enfermement et de contrôle.

Par la suite, Apple ne cessera d'ailleurs pas de briller par ses stratégies de communication aussi confuses qu'insidieuses : sa fameuse injonction « Think different » ne nous disant surtout pas « de quoi » il s'agirait penser différemment, elle nous demande surtout, en vérité, de penser différemment « de nous-même » (de notre singularité) pour « penser Apple » et nous fondre dans un « cool » finalement très commun.

En 2007, il y a à peine plus de 10 ans, sort l'iPhone. Ses ventes ont placé l'entreprise dans sa situation économique actuelle, représentant désormais 70% de son chiffre d'affaire (les 30% restants étant à peu près équitablement répartis entre les ventes d'iPad, de Mac et de services). Aujourd'hui, environ un smartphone sur cinq vendu dans le monde l'est par Apple.

Le modèle Apple

Le modèle économique d'Apple, centré sur la vente au public de ses seules machines, repose sur l'enfermement de ses clients : s'assurer que ceux-ci n'achèteront que du matériel Apple. Pour cela, l'entreprise entend garder tout contrôle sur l'utilisation que ses clients peuvent faire des produits qu'ils ont achetés.

Les systèmes d'exploitation livrés avec les machines Apple - iOS et Mac OS - sont ainsi de pures boites noires : leur code source est gardé secret, empêchant qu'on puisse prendre connaissance de leur fonctionnement pour l'adapter à nos besoins, en dehors du contrôle d'Apple.

Son App Store est aussi une parfaite illustration de cette prison dorée : Apple limite les logiciels téléchargeables selon ses propres critères, s'assurant que ses utilisateurs n'aient accès qu'à des services tiers « de qualité » - conformes à son modèle économique et à sa stratégie d'enfermement (Apple prenant au passage 30% du prix de vente des applications payantes, il a d'ailleurs tout intérêt à favoriser celles-ci).

Enfin, une fois que ses utilisateurs ont payé pour utiliser divers logiciels non-libres via l'App Store, il devient bien difficile pour eux, économiquement, de se tourner vers d'autres systèmes qu'Apple, où l'accès à certains de ces logiciels ne serait plus possible - et où l'argent dépensé pour les acheter serait perdu.

L'emprisonnement est parfait.

Un enfermement (aussi) matériel

Hélas, le modèle d'enfermement d'Apple ne se limite pas aux logiciels : la connectique des iPhones n'est pas compatible avec le standard Micro-USB utilisé par tous les autres constructeurs, obligeant ainsi à acheter des câbles spécifiques. De même, les derniers iPhones n'ont pas de prise jack pour le casque audio, obligeant à acheter un adaptateur supplémentaire si on ne souhaite pas utiliser les écouteurs Bluetooth d'Apple.

La dernière caricature en date de ce modèle est la nouvelle enceinte d'Apple, HomePod, qui requiert un iPhone pour s'installer et ne peut jouer que de la musique principalement fournie par les services d'Apple (iTunes, Apple Music...).

Enfin, une fois qu'Apple peut entièrement contrôler l'utilisation de ses appareils, la route lui est grande ouverte pour en programmer l'obsolescence et pousser à l'achat d'appareils plus récents. Ainsi, l'hiver dernier, accusée par des observateurs extérieurs, l'entreprise a été contrainte de reconnaître que des mises à jour avaient volontairement ralenti les anciens modèles de ses téléphones.

Apple a expliqué que ce changement visait à protéger les téléphones les plus anciens dont la batterie était usée. Mais sa réponse, qu'elle soit sincère ou non, ne fait que souligner le véritable problème : ses iPhone sont conçus pour ne pas permettre une réparation ou un changement de batterie simple. Ralentir les vieux modèles n'était « utile » que dans la mesure où ceux-ci n'étaient pas conçus pour durer.

Vie privée : un faux ami

Apple vendant surtout du matériel, la surveillance de masse n'est a priori pas aussi utile pour lui que pour les autres GAFAM. L'entreprise en profite donc pour se présenter comme un défenseur de la vie privée.

Par exemple sur son navigateur Web, Safari, les cookies tiers, qui sont utilisés pour retracer l'activité d'une personne sur différents sites Internet, sont bloqués par défaut. L'entreprise présente cela comme une mesure de protection de la vie privée, et c'est vrai, mais c'est aussi pour elle une façon de ramener le marché de la publicité vers le secteur des applications mobiles, où non seulement le traçage n'est pas bloqué mais, au contraire, directement offert par Apple.

C'est ce que nous attaquons.

Une définition « hors-loi » des données personnelles

Dans son « engagement de confidentialité », qu'on est obligé d'accepter pour utiliser ses services, Apple s'autorise à utiliser nos données personnelles dans certains cas limités, se donnant l'image d'un entreprise respectueuse de ses utilisateurs.

Pourtant, aussitôt, Apple s'autorise à « collecter, utiliser, transférer et divulguer des données non-personnelles à quelque fin que ce soit », incluant parmi ces données :

Cette liste révèle que la définition des « données personnelles » retenue par Apple est bien différente de celle retenue par le droit européen. En droit européen, une information est une donnée personnelle du moment qu'elle peut être associée à une personne unique, peu importe que l'identité de cette personne soit connue ou non. Or, l'identifiant unique de l'appareil, l'adresse IP ou, dans bien des cas aussi, les recherches effectuées ou la localisation, sont bien associables à une personne unique par elles-mêmes.

Ainsi, l'entreprise a beau jeu de préciser que « si nous associons des données non-personnelles à des données personnelles, les données ainsi combinées seront traitées comme des données à caractère personnel ». En effet, les données qu'elle dit « non-personnelles » et qu'elle associe ensembles constituent déja des données personnelles, que le droit européen interdit d'utiliser « à quelque fin que ce soit ». C'est bien pourtant ce qu'Apple nous demande d'accepter pour utiliser ses services (et sans qu'on sache dans quelle mesure il utilise ou utilisera un jour ce blanc-seing).

Le méga-cookie Apple

En dehors de l'immense incertitude quant aux pouvoirs qu'Apple s'arroge via sa définition erronée des « données non-personnelles », un danger est déjà parfaitement actuel : l'identifiant publicitaire unique qu'Apple fournit à chaque application.

Comme nous l'avions déjà vu pour Google (le fonctionnement est identique), Apple associe à chaque appareil un identifiant unique à fins publicitaires. Cet identifiant est librement accessible par chaque application installée (l'utilisateur n'est pas invité à en autoriser l'accès au cas par cas - l'accès est automatiquement donné).

Cet identifiant, encore plus efficace qu'un simple « cookie », permet d'individualiser chaque utilisateur et, ainsi, de retracer parfaitement ses activités sur l'ensemble de ses applications. Apple fournit donc à des entreprises tierces un outil décisif pour établir le profil de chaque utilisateur - pour sonder notre esprit afin de mieux nous manipuler, de nous soumettre la bonne publicité au bon moment (exactement de la même façon que nous le décrivions au sujet de Facebook).

On comprend facilement l'intérêt qu'en tire Apple : attirer sur ses plateformes le plus grand nombre d'applications, afin que celles-ci attirent le plus grand nombre d'utilisateurs, qui se retrouveront enfermés dans le système Apple.

Tel que déjà évoqué, les entreprises tierces sont d'autant plus incitées à venir sur l'App Store depuis que Apple les empêche de recourir aux juteux « cookies tiers » sur le Web - que Safari bloque par défaut. En effet, à quoi bon se battre contre Apple pour surveiller la population sur des sites internets alors que cette même entreprise offre gratuitement les moyens de le faire sur des applications ? La protection offerte par Safari apparaît dès lors sous des traits biens cyniques.

Un identifiant illégal

Contrairement au méga-cookie offert par Google sur Android, celui d'Apple est désactivable : l'utilisateur peut lui donner comme valeur « 0 ». Ce faisant, Apple prétend « laisser le choix » de se soumettre ou non à la surveillance massive qu'il permet.

Or, ce choix est largement illusoire : au moment de l'acquisition et de l'installation d'un appareil, le méga-cookie d'Apple est activé par défaut, et l'utilisateur n'est pas invité à faire le moindre choix à son sujet. Ce n'est qu'ultérieurement, s'il a connaissance de l'option appropriée et en comprend le fonctionnement et l'intérêt, que l'utilisateur peut vraiment faire ce choix. Et Apple sait pertinemment que la plupart de ses clients n'auront pas cette connaissance ou cette compréhension, et qu'aucun choix ne leur aura donc été véritablement donné.

C'est pourtant bien ce qu'exige la loi. La directive « ePrivacy » exige le consentement de l'utilisateur pour accéder aux informations contenues sur sa machine, tel que ce méga-cookie. Le règlement général sur la protection des données (RGPD) exige que ce consentement soit donné de façon explicite, par un acte positif dont le seul but est d'accepter l'accès aux données. Or, Apple ne demande jamais ce consentement, le considérant comme étant donné par défaut.

Pour respecter la loi, il devrait, au moment de l'installation de la machine, exiger que l'utilisateur choisisse s'il veut ou non que lui soit associé un identifiant publicitaire unique. Si l'utilisateur refuse, il doit pouvoir terminer l'installation et utiliser librement l'appareil. C'est ce que nous exigerons collectivement devant la CNIL.

D'ailleurs, la solution que nous exigeons est bien celle qui avait été retenue par Microsoft, l'été dernier, pour mettre Windows 10 en conformité avec la loi lorsque la CNIL lui faisait des reproches semblables à ceux que nous formulons aujourd'hui. Si Apple souhaite véritablement respecter les droits de ses utilisateurs, tel qu'il le prétend aujourd'hui hypocritement, la voie lui est donc clairement ouverte.

S'il ne prend pas cette voie, il sera le GAFAM dont la sanction, d'un montant maximum de 8 milliards d'euros, sera, pour l'Europe, la plus rentable. De quoi commencer à rééquilibrer les conséquences de son évasion fiscale, qui lui a déjà valu en 2016 une amende de 13 milliards d'euros, encore en attente de paiement (pour approfondir cet aspect, plus éloigné de notre action centrée sur les données personnelles, voir les actions conduites par ATTAC).

Contre l'emprise des GAFAM sur nos vies, allez dès maintenant sur gafam.laquadrature.net signer les plaintes collectives que nous déposerons le 25 mai devant la CNIL.


Pourquoi attaquer Google ?

Thu, 03 May 2018 16:20:38 +0000 - (source)

03 Mai 2018 - Deuxième titan de l'Internet que nous attaquons, Google est plus subtil dans sa surveillance. La stratégie est différente de celle de Facebook mais tout autant contraire à nos libertés. Démystifions cela.

L'entreprise

Fondée il y a 20 ans par Larry Page et Sergueï Brin, créateurs du moteur de recherche Google, l'entreprise compte aujourd'hui 74 000 salariés et 90,6 milliards d'euros de chiffre d'affaire. Son modèle économique n'est pas exclusivement basé sur la publicité, bien que ses revenus publicitaires représentent 86 % de son chiffre d'affaires.

Aujourd'hui, Google est une filiale d'Alphabet, la maison-mère d'un groupe implanté partout dans le monde1. Ses services se sont multipliés : gestion des e-mails avec Gmail, du calendrier avec Agenda, stockage et édition de documents avec Drive et Gsuite, mobile avec Android, publication de vidéos avec Youtube, etc.

Ce que Google sait de nous

Google soumet presque tous ses services à un corpus unique de « règles de confidentialité » qui prévoient que l'entreprise peut collecter :

Google explique utiliser toutes ces données pour mieux cibler ses utilisateurs afin de leur proposer les publicités les plus à même de les convaincre, au bon moment. Comme nous l'avons vu avec Facebook, l'analyse en masse d'informations d'apparence anodines permet d'établir des corrélations censées cerner en détail l'intimité de chaque personne.

Même si Google permet de limiter l'interconnexion de certains types de données brutes (localisation, recherches effectuées et vidéos consultées), il ne laisse aucun contrôle sur tous les autres types de données. Surtout, il ne permet pas de bloquer l'analyse faite sur les données dérivées (nos profils), qui sont pourtant les plus sensibles, et que nous sommes contraints d'abandonner à Google pour utiliser ses services. L'accès aux services Google implique l'obligation de céder ces informations personnelles. Cet abandon résultant d'un consentement non-libre, l'analyse de ces données est illicite — c'est ce que nous attaquons.

La chimère du contrôle

Il ne faut pas se tromper sur le soi-disant contrôle que Google nous laisserait sur l'interconnexion de certains types de données (localisation, recherches, vidéos). Par défaut, Google récupère et croise une quantité monstrueuse de données. Il ne suffit pas que l'entreprise nous donne la possibilité de limiter certaines mesures pour que celles-ci deviennent licites. Qui a déjà activé les options limitant la collecte de données personnelles par Google ? L'entreprise tente de s'acheter une image en laissant à l'utilisateur, par un acte volontaire, cette possibilité, en sachant pertinemment que la majorité des utilisateur ne le feront pas. Le consentement est alors dérobé.

Heureusement, le règlement général sur la protection des données (RGPD) a parfaitement anticipé cette tentative de contourner notre volonté. Il prévoit précisément que, pour être valide, notre consentement doit être explicite : « il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d'inactivité » (considérant 32). Or, les mesures de surveillance sur lesquelles Google feint de nous laisser un certain contrôle sont « acceptées » par défaut au moyen de cases précochées. Puisqu'elles ne reposent pas sur un consentement explicite, ces mesures sont illicites — nous l'attaquons aussi.

Gmail

Google s'autorise à analyser le contenu des e-mails de ses utilisateurs, envoyés comme reçus. L'entreprise se permet ainsi clairement d'analyser les correspondances de ses utilisateurs. Plus sournois encore, Google lit les conversations avec les correspondants des utilisateurs de Gmail alors que ceux-ci n'ont jamais donné leur consentement et n'ont même jamais été informés de cette surveillance.

De plus, même si Google a annoncé (EN) ne plus souhaiter analyser le contenu des e-mails à des fins publicitaires, ses « règles » continuent à l'y autoriser — rendant ses déclarations bien superficielles.

Dans tous les cas, en dehors de l'analyse à des fins publicitaires, Google entend bien continuer à analyser les contenus des e-mails pour « nourrir » ses algorithmes de prédiction (et les algorithmes de Google sont, sur le long terme, probablement ce que l'entreprise a de plus précieux).

Ainsi, sur Gmail, l'entreprise présente ses algorithmes comme des assistants à la gestion des rendez-vous et des correspondances et en affiche fièrement l'ambition : remplacer les humains dans la multitude de choix qu'elle juge « secondaires » (avec qui parler, quand, pour dire quoi), pour que l'humanité reste concentrée sur ce à quoi elle devrait être dédiée - être productive.

Enfin, s'agissant de son activité traditionnelle — la publicité —, Google ne se cache pas de continuer à analyser les métadonnées des e-mails (qui parle avec qui, quand, à quelle fréquence) pour identifier plus précisément ses utilisateurs et leurs contacts. Cette analyse se retrouve également dans l'application maison de messageries instantanées, Allo : les messages sont par défaut enregistrés sur les serveurs de Google. Pire, les messages vocaux sont écoutés et transcrits par Google et l'utilisateur ne peut pas s'y opposer.

Ces métadonnées, qui sont créées « par des machines, pour des machines », sont bien plus simples à analyser automatiquement que le contenu des e-mails (écrit par des humains, et donc soumis à la subtilité du langage) tout en pouvant révéler des informations au moins aussi intimes : savoir que vous écrivez subitement à un cancerologue peut révéler plus d'informations sur votre état de santé que le détail de ce que vous lui dites, par exemple.

Ici, au cœur de l'activité de Google, plus question de laisser à l'utilisateur le moindre contrôle sur ce qui peut être ou non analysé — pour utiliser Gmail, nous devons entièrement céder notre droit fondamental à la confidentialité de nos communications (ainsi que celui de nos correspondants, malgré eux).

Google nous piste sur le Web

16 % du chiffre d'affaires de Google proviennent de ses activités d'entremetteur publicitaire, qui consiste à mettre en relation des annonceurs avec « plus de deux millions » de sites ou blogs tiers qui souhaitent se rémunérer par la publicité ciblée. Sur chacun de ces sites, c'est Google qui affiche techniquement chaque publicité, et cet affichage lui permet de déposer les cookies et autres pisteurs grâce auxquels il peut retracer la navigation de tout internaute (inscrit ou non à ses services). Ici encore, nous n'avons jamais consenti de façon valide à ce pistage.

De l'exacte même façon, Google nous piste sur les innombrables sites qui ont recours au service Google Analytics. Ce service aide les sites à analyser l'identité de leurs visiteurs, tout en laissant Google accéder aux mêmes informations.

Une simple analyse de trafic2 sur des sites comme lemonde.fr, lefigaro.fr, hadopi.fr ou defense.gouv.fr permet par exemple de constater qu'en accédant à ces sites, diverses requêtes sont envoyées à doubleclick.net (la régie publicitaire de Google) et/ou google-analytics.com, permettant à Google de connaître ne serait-ce que notre adresse IP, la configuration unique de notre navigateur et l'adresse URL de chaque page visitée sur chacun de ces sites.

Les responsables de ces sites sont tout autant responsables que Google de ce pistage illégal - nous nous en prendrons à eux plus tard - par lequel le géant publicitaire peut encore plus précisément nous ficher.

Enfin, Google compte bien étendre sa présence sur l'ensemble du Web en régulant lui-même la publicité : en configurant son navigateur Google Chrome (utilisé par 60 % des internautes) pour qu'il bloque partout sur le Web les publicités qui ne correspondraient pas aux critères (de format, d'ergonomie...) décidés par l'entreprise. Le message est ainsi clair : « si vous voulez faire de la publicité en ligne, utilisez les services Google, vous vous éviterez bien des soucis ! »

D'une pierre trois coups, Google passe d'une part pour un défenseur de la vie privée (puisqu'il bloque certaines publicités intrusives), incite d'autre part les internautes à désactiver les bloqueurs tiers (tel que uBlocks Origin qui neutralise efficacement nombre de traçeurs de Google) puisque que Google Chrome en intègre un par défaut, et incite enfin encore plus d'éditeurs de page Web à afficher ses publicités et donc à intégrer ses traçeurs, partout, tout le temps.

Youtube

La plus grosse plateforme vidéo d'Internet (et le second site le plus visité au monde, d'après Alexa), Youtube, appartient à Google.

Youtube ne se contente pas seulement d'héberger des vidéos : il s'agit d'un véritable média social de contenus multimédia, qui met en relation des individus et régule ces relations.

En effet, lorsqu'une vidéo est visionnée sur Youtube, dans 70 % des cas, l'utilisateur à été amené à cliquer sur cette vidéo via l'algorithme de recommandation de Youtube. Un ancien employé de Youtube, Guillaume Chaslot3, expose les conséquences de cet algorithme. Le but de l'algorithme n'est pas de servir l'utilisateur mais de servir la plateforme, c'est-à-dire de faire en sorte que l'on reste le plus longtemps possible sur la plateforme, devant les publicités. L'employé raconte que lors de la mise en ligne d'une vidéo, celle-ci est d'abord montrée à un échantillon de personnes et n'est recommandée aux autres utilisateurs que si elle a retenu cet échantillon de spectateurs suffisamment longtemps devant l'écran.

Cet algorithme ne se pose pas la question du contenu - de sa nature, de son message… En pratique, cependant, l'ancien employé constate que les contenus les plus mis en avant se trouvent être les contenus agressifs, diffamants, choquants ou complotistes. Guillaume Chaslot compare : « C'est comme une bagarre dans la rue, les gens s'arrêtent pour regarder. »

Nécessairement, on comprend que, en réponse à cet algorithme, de nombreux créateurs de contenus se soient spontanément adaptés, proposant des contenus de plus en plus agressifs.

Dans le but de faire le maximum de vues, Youtube surveille donc le moindre des faits et gestes des utilisateurs afin de les mettre dans la condition la plus propice à recevoir de la publicité et afin de les laisser exposés à cette publicité le plus longtemps possible… mais ce n'est pas tout !

Youtube, désirant ne pas perdre une seconde de visionnage de ses utilisateurs, ne prend pas le risque de leur recommander des contenus trop extravagants et se complait à les laisser dans leur zone de confort. L'ancien employé déclare qu'ils ont refusé plusieurs fois de modifier l'algorithme de façon à ce que celui-ci ouvre l'utilisateur à des contenus inhabituels. Dans ces conditions, le débat public est entièrement déformé, les discussions les plus subtiles ou précises, jugées peu rentables, s'exposant à une censure par enterrement.

De plus, Youtube bénéficie du statut d'hébergeur et n'est donc pas considéré comme étant a priori responsable des propos tenus sur sa plateforme. En revanche, il est tenu de retirer un contenu « manifestement illicite » si celui-ci lui a été notifié. Compte tenu de la quantité de contenus que brasse Youtube, il a décidé d'automatiser la censure des contenus potentiellement « illicites », portant atteinte au droit de certains « auteurs », au moyen de son RobotCopyright, appelé « ContentID ». Pour être reconnu « auteur » sur la plateforme, il faut répondre à des critères fixés par Youtube. Une fois qu'un contenu est protégé par ce droit attribué par Youtube (en pratique, il s'agit en majorité de grosses chaînes de télévision), la plateforme se permet de démonétiser ou supprimer les vidéos réutilisant le contenu « protégé » à la demande de leur « auteurs ».

Un moyen de censure de plus qui démontre que Youtube ne souhaite pas permettre à chacun de s'exprimer (contrairement à son slogan « Broadcast yourself ») mais cherche simplement à administrer l'espace de débat public pour favoriser la centralisation et le contrôle de l'information. Et pour cause, cette censure et cet enfermement dans un espace de confort est le meilleur moyen d'emprisonner les utilisateurs dans son écosystème au service de la publicité.

Contrairement à ce que Google tente de nous faire croire, la surveillance et la censure ne sont pas la condition inévitable pour s'échanger des vidéos en ligne. On peut parfaitement le faire en total respect de nos droits. PeerTube est une plateforme de partage de vidéos proposant les mêmes fonctionnalités que Youtube mais fonctionne avec des rouages différents. Les vidéos ne sont pas toutes hébergées au même endroit : n'importe qui peut créer son instance et héberger chez lui des vidéos. Les différentes instances sont ensuite connectées entre elles. Chaque instance a donc ses propres règles, il n'y a pas une politique de censure unifiée comme sur Youtube, et surtout ces règles ne sont pas dictées par une logique commerciale.

Infiltration de l'open source sur Android, cheval de Troie de la surveillance

Google porte le logiciel Android, son système d'exploitation pour smartphones. En diffusant des outils réutilisables afin d'« aider » les développeurs à développer des applications mobiles pour Android, Google a réussi à faire largement adopter ses « pratiques » par de nombreux développeurs : les codes diffusés contiennent souvent des pisteurs Google et ceux-ci se retrouvent ainsi intégrés dans de nombreuses applications qui, a priori, n'ont absolument aucune raison de révéler à l'entreprise des informations sur leurs utilisateurs.

C'est ce que révèle parfaitement l'association Exodus Privacy : des traces des pisteurs Google Ads, Firebase Analytics, Google Analytics ou DoubleClick ont été retrouvées dans le code de plus de 3 000 applications analysées, dont Deezer, Spotify, Uber, Tinder, Twitter, Le Figaro, L'Equipe, Crédit Agricole, Boursorama ou Angry Birds.

Par ailleurs, Google tente régulièrement de s'acheter une image au sein du milieu du logiciel libre. Ainsi, les sources de Android sont libres de droit. Cela ne veut pas dire que son développement est ouvert : Google choisit quasiment seul les directions dans le développement du système.

En outre, en plus du système Android stricto sensu, Google impose aux constructeurs de smartphones d'embarquer sur leurs produits les mouchards que sont ses applications. En effet, le marché des applications étant ce qu'il est, les constructeurs de smartphone considèrent qu'un téléphone Android ne se vendra pas s'il n'intègre pas le Play Store (magasin d'applications) fourni par Google.

Or, pour pourvoir accéder au Play Store, un téléphone doit avoir les applications de surveillance de Google. Ces services Google étendent les possibilités du système et deviennent parfois indispensables pour faire fonctionner un certain nombre d'applications4, permettant à l'entreprise de traquer les utilisateurs de smartphones : la géolocalisation continue de l'utilisateur est récupérée, permettant à Google de connaître les habitudes de déplacement des usagers ; la liste des réseaux WiFi est envoyée à Google quand bien même l'utilisateur a désactivé le WiFi de son téléphone ; le Play Store impose de synchroniser son compte Google, permettant un recoupage encore plus fin des données.

Et, bien évidemment, ces services Google ne sont pas libres. Android devient donc le prétexte open-source pour placer dans la poche de l'utilisateur toute une série d'applications Google dont le but est d'espionner. Cela n'empêche pas l'entreprise de communiquer massivement sur ses projets libres très souvent intéressés, à l'image de son dernier outil libre de tracking.

Enfin, l'intégration du Play Store conduit à attribuer automatiquement un identifiant publicitaire unique à chaque utilisateur. Cet identifiant est gratuitement mis à disposition de toutes les applications et, à la façon d'un « méga-cookie », permet aux applications de tracer le comportement des utilisateurs sur l'ensemble des services utilisés. Ici, les outils de surveillance de Google sont gracieusement offerts à des développeurs tiers afin d'attirer le plus grand nombre d'applications sur Android — où Google, au sommet de cette structure, pourra librement surveiller tout un chacun.

Rejoignez la procédure


Les comptes 2017 de La Quadrature du Net

Wed, 02 May 2018 11:24:50 +0000 - (source)

La Quadrature du Net a pour habitude de publier sur son site web ses comptes annuels. Voici ceux de l'année 2017, qui ont été approuvés par l'Assemblée Générale du 1 avril 2018.

Commentaire de présentation

La Quadrature du Net est une association déclarée depuis 2013. La campagne de dons de 2016 a été similaire à la précédente, assurant une fois encore une bonne partie du financement sur 2017, notamment grâce aux dons récurrents et ponctuels qui (hors des temps de campagne de dons) représentent plus de 13 000 € par mois. Grâce à ces campagnes de dons et ces dons individuels réguliers, plus de 70% de notre budget est ainsi assuré.

Les dépenses pour 2017 sont assez similaires à celles de 2016, la majorité des dépenses venant des salaires des permanents et stagiaires de l'association, qui permettent d'assurer son activité au jour le jour.

Benjamin Sonntag pour La Quadrature du Net

Les comptes 2017

 

Banque  2017

%

1. SOLDE EN DEBUT DE MOIS

   

Encaissement

   

A1. Dons LQDN

   

Dons individuels

263 570,53 €

72%

Dons entreprises

11 652,26 €

3%

Dons fondations

79 693,36 €

22%

Remboursements conférences

3 721,51 €

2%

Financement d’un poste aidé

3 496,80 €

2%

Intérêts financiers

567,89 €

-%

2. TOTAL RECETTES

362 702,35 €

100%

B. Décaissements

   

B1. d'exploitation

   

B1.1 Dépenses LQDN

   

Salaires

163 293,02 €

41%

URSSAF & Tickets Restau

141 115,00 €

35%

Local (Loyer, EDF, Tel)

28 234,65 €

7%

Frais Généraux (poste, service, buro...)

5 470,14 €

2%

Équipements (informatique, vidéo …)

4 387,58 €

1%

Transport

17 109,13 €

4%

Campagnes, Communauté

14 676,40 €

4%

Frais bancaires, Assurance

3 199,49 €

1%

Divers (goodies, projets ponctuels...)

13 079,97 €

3%

Prestations de service

7 445,00 €

2%

3. TOTAL DÉPENSES

398 010,38 €

100%

C1.  Epargne

   

Livret A & Instrument Financier

83 178,55 €

 

Z1. Totaux

   

Résultat

-35 304,83 €

 
     

Compte courant au 31.12.2017

160 294,96 €

Livret A au 31.12.2017

83 178,55 €

Solde trésorerie

243 473,51 €


Pourquoi attaquer Facebook ?

Thu, 19 Apr 2018 16:05:57 +0000 - (source)

19 avril 2018 - Notre campagne d'actions de groupe commence par Facebook, qui est l'illustration la plus flagrante du modèle que nous dénonçons : rémunérer un service en échange de notre vie privée et de notre liberté de conscience. Détaillons aujourd'hui les conséquences de ses activités.

Alors que le RGPD entre en application dans un mois, Facebook campe sur ses positions et défend son modèle économique, annonçant il y a deux jours que ses services resteraient inaccessibles aux utilisateurs refusant d'être ciblés. Les modifications que l'entreprise souhaiterait faire (EN) pour, soi-disant, donner plus de contrôle à ses utilisateurs, apparaissent dès lors comme bien marginales et anecdotiques.

Revenons en détail sur les conséquences du modèle Facebook.

L'entreprise Facebook

Facebook a été créé il y a 14 ans, notamment par Mark Zuckerberg, son actuel directeur général, et emploie 25 000 salariés. Son chiffre d'affaire de 30 milliards d'euros repose à 98 % sur l'affichage publicitaire, proposé à 2,2 milliards d'utilisateurs actifs. Le site Facebook serait le 3ème site Internet le plus visité (classement Alexa), mais l'entreprise détient également WhatsApp et Messenger (services de messageries), ainsi qu'Instagram (réseau de partage de photos et de vidéos, 17ème site Internet le plus visité).

L'entreprise explique sans pudeur son fonctionnement : des personnes qui souhaitent diffuser un message (une publicité, un article, un événement, etc.) désignent à Facebook un public cible, selon certains critères sociaux, économiques ou de comportement, et paient l'entreprise pour qu'elle diffuse ce message à ce public, dans les meilleures conditions.

Ce fonctionnement implique deux choses : connaître chaque utilisateur, puis afficher les messages devant être diffusés, au bon moment et sous le bon format, pour influencer au mieux les personnes ciblées.

Détaillons la façon dont Facebook s'y prend.

Ce que Facebook analyse

Facebook explique dans sa Politique d'utilisation des données qu'il analyse les informations suivantes :

L'entreprise explique, toujours sans pudeur, analyser ces données pour nous proposer les contenus payés de la façon la plus « adaptée » (comprendre : de la façon la plus subtile, pour passer notre attention).

Comme on le voit, la majorité des données analysées par Facebook ne sont pas celles que l'on publie spontanément, mais celles qui ressortent de nos activités.

De l'analyse de toutes ces données résulte un nouveau jeu d'informations, qui sont les plus importantes pour Facebook et au sujet desquelles l'entreprise ne nous laisse aucun contrôle : l'ensemble des caractéristiques sociales, économiques et comportementales que le réseau associe à chaque utilisateur afin de mieux le cibler.

Ce que Facebook sait de nous

En 2013, l'université de Cambridge a conduit l'étude suivante : 58 000 personnes ont répondu à un test de personnalité, puis ce test a été recoupé à tous leurs « j'aime » laissés sur Facebook. En repartant de leurs seuls « j'aime », l'université a ensuite pu estimer leur couleur de peau (avec 95 % de certitude), leurs orientations politique (85 %) et sexuelle (80 %), leur confession religieuse (82 %), s'ils fumaient (73 %), buvaient (70 %) ou consommaient de la drogue (65 %).

Cette démonstration a permis de mettre en lumière le fonctionnement profond de l'analyse de masse : quand beaucoup d'informations peuvent être recoupées s'agissant d'un très grand nombre de personnes (plus de 2 milliards pour Facebook, rappelons-le), de très nombreuses corrélations apparaissent, donnant l'espoir, fondé ou non, de révéler automatiquement (sans analyse humaine) le détail de la personnalité de chaque individu.

Aujourd'hui, Michal Kosinski, le chercheur ayant dirigé cette étude, continue de dénoncer les dangers de l'analyse de masse automatisée : il explique (EN) que, par une telle analyse de masse, de simples photos pourraient révéler l'orientation sexuelle d'une personne, ses opinions politiques, son QI ou ses prédispositions criminelles. Qu'importe la pertinence des corrélations résultant de telles analyses de masse, c'est bien cette méthode qui a été à la source du fonctionnement de Cambridge Analytica, dont les conséquences politiques sont, elles, bien certaines.

Une application aussi révélatrice qu'inquiétante de telles méthodes est l'ambition (EN) affichée par Facebook de détecter automatiquement les personnes présentant des tendances suicidaires. En dehors de cette initiative discutable2, Facebook révèle ici l'ampleur et le détail des informations nous concernant qu'il espère déduire des analyses de masse qu'il conduit.

Comment Facebook nous influence

Une fois que l'entreprise s'est faite une idée si précise de qui nous sommes, de nos envies, de nos craintes, de notre mode de vie et de nos faiblesses, la route est libre pour nous proposer ses messages au bon moment et sous le bon format, quand ils seront les plus à même d'influencer notre volonté.

L'entreprise s'est elle-même vantée de l'ampleur de cette emprise. En 2012, elle a soumis 700 000 utilisateurs à une expérience (sans leur demander leur consentement ni les informer). Facebook modifiait le fil d'actualité de ces personnes de sorte qu'étaient mis en avant certains contenus qui influenceraient leur humeur, espérant les rendre plus joyeuse pour certaines et plus tristes pour d'autres. L'étude concluait que « les utilisateurs ciblés commençaient à utiliser davantage de mots négatifs ou positifs selon l'ampleur des contenus auxquels ils avaient été “exposés” ».

Cette expérience ne fait que révéler le fonctionnement normal de Facebook : afin de nous influencer, il hiérarchise les informations que nous pouvons consulter sur ses services (le « fil d'actualité » ne représente qu'une faible partie des contenus diffusés par les personnes que nous suivons, car ces contenus sont sélectionnés et triés par Facebook).

Cette hiérarchisation de l'information ne se contente pas d'écraser notre liberté de conscience personnelle : elle a aussi pour effet de distordre entièrement le débat public, selon des critères purement économiques et opaques, ce dont la sur-diffusion de « fakenews » n'est qu'un des nombreux symptômes.

Dans son étude annuelle de 2017, le Conseil d'État mettait en garde contre la prétendue neutralité des algorithmes dans la mise en œuvre du tri : les algorithmes sont au service de la maximisation du profit des plateformes et sont dès lors conçus pour favoriser les revenus au détriment de la qualité de l'information.

Pourquoi c'est illégal ?

Dans ses toutes nouvelles conditions d'utilisation, revues pour l'entrée en application du RGPD, Facebook explique qu'il considère être autorisé à surveiller et influencer les utilisateurs au motif que ceux-ci auraient consenti à un contrat qui le prévoirait. Or, en droit, ce contrat ne suffit en aucun cas à rendre légale ces pratiques.

Le RGPD prévoit que notre consentement n'est pas valide, car non-libre, « si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée au consentement au traitement de données à caractère personnel qui n'est pas nécessaire à l'exécution dudit contrat » (article 7, §4, et considérant 43 du RGPD, interprétés par le groupe de l'article 29).

Cette exigence d'un consentement libre se répercute sur la validité des dispositions qui, dans le contrat passé avec Facebook, autoriseraient ce dernier à nous surveiller et nous influencer.

En 2017, la CNIL a condamné Facebook à 150 000 euros d'amende pour avoir réalisé ses traitements sans base légale. Elle considérait alors que « l’objet principal du service est la fourniture d’un réseau social [...], que la combinaison des données des utilisateurs à des fins de ciblage publicitaire ne correspond ni à l’objet principal du contrat ni aux attentes raisonnables des utilisateurs [et qu'il incombe donc à Facebook] de veiller à ce que les droits des personnes concernées soient respectés et notamment à ce que l’exécution d’un contrat ne les conduise pas à y renoncer ». Ainsi, la CNIL « estime que les sociétés ne peuvent se prévaloir du recueil du consentement des utilisateurs [ni] de la nécessité liée à l’exécution d’un contrat ».

Puisque le contrat passé avec Facebook n'autorise pas la surveillance décrite ci-dessus, celle-ci est illicite - c'est le cœur de nos actions de groupe ! Malheureusement, les méfaits de Facebook dépassent son propre site.

Comment Facebook collabore avec des tiers

Facebook ne cache plus son activité de traçage un peu partout sur le Web, même s'agissant de personnes n'ayant pas de compte Facebook (qui se voient alors créer un « profil fantôme »).

Les méthodes de pistage sont nombreuses :

Les personnes ciblées en sont rarement informées ou leur consentement n'est pas obtenu. Facebook se dédouane de cette responsabilité en la faisant peser sur les sites et applications ayant integré ses traçeurs. Bien que ces sites et applications soient bien responsables juridiquement, Facebook l'est tout autant, l'entreprise étant régulièrement condamnée pour ce pistage illicite, sans pour autant y mettre un terme :

Facebook trace également sur smartphone

L'entreprise ne s'intéresse pas seulement aux habitudes de navigation des internautes. Les applications sur téléphone mobile sont également une cible. En fournissant une série d'outils aux développeurs d'applications, Facebook va s'incruster dans ce nouveau monde. Dès qu'une application veut se connecter à Facebook, pour une raison ou une autre, un certain nombre de données personnelles sont transmises, souvent sans lien direct avec le but initial de l'application et, souvent aussi, sans que l'utilisateur n'en soit même informé.

L'association Exodus Privacy a mis en évidence l'omniprésence de ces traqueurs dans les applications mobiles. Si certains traqueurs affichent leurs intentions (cibler les utilisateurs à des fins publicitaires), d'autres ont un fonctionnement parfaitement opaque. Ainsi, nous avons pu observer que l'application Pregnancy + récolte les informations privées de l'enfant à naître (afin d'accompagner les parents dans la naissance) et les transmet à Facebook (semaine de grossesse et mois de naissance attendu). Sur son site, l'application explique simplement transmettre à des tiers certaines données pour assurer le bon fonctionnement du service… Grâce à Pregnancy +, votre enfant a déjà son compte Facebook avant même d'être né !

Autre exemple flagrant : en analysant les données émises par l'application Diabetes:M, on constate qu'elle envoie à Facebook l'« advertising ID » de l'utilisateur, donnant ainsi à Facebook une liste de personnes atteintes de diabète. Sur son site, l'application se contente d'expliquer travailler avec des réseaux publicitaires, sans autre détail…

WhatsApp et Instagram

Évidemment, la surveillance exercée par Facebook va s'étendre à ses deux grandes filliales : sa messagerie, WhatsApp, et le réseau social d'image et de vidéo, Instagram.

Le rachat de WhatsApp a mis en lumière le comportement de sa maison mère. La Commission européenne a d'abord sanctionné Facebook d'une amende de 110 millions d'euros sur le plan du droit de la concurrence, puis la CNIL française s'est prononcée sur le plan des données personnelles. En décembre dernier, elle a mis en demeure Facebook d'arrêter d'imposer aux utilisateurs de WhatsApp d'accepter que leurs informations soient transférées au réseau social.

Encore une fois, c'est le consentement libre qui faisait défaut : WhatsApp ne pouvait pas être utilisé sans donner son consentement à des mesures purement publicitaires. Ceci est désormais clairement interdit.

Comment Facebook peut-il survivre s'il ne peut plus se financer sur nos données ?

Le modèle économique de Facebook est en train d'être drastiquement remis en cause. Il n'est plus permis de rémunérer un service en contrepartie de libertés fondamentales. Facebook ne va pas forcément disparaître, mais ne pourra plus continuer à se rémunérer de la même façon.

Mais qu'importe : nous n'avons pas besoin de Facebook pour pouvoir continuer d'utiliser des services gratuits et de qualité. Il existe déjà de nombreuses alternatives aux services des GAFAM qui sont réellement gratuites (c'est-à-dire qui n'impliquent pas de « monnayer » nos libertés), car leur financement repose sur le modèle originel d'Internet : la décentralisation, qui permet la mutualisation des coûts en stockage, en calcul et en bande passante.

Par exemple, La Quadrature du Net fournit à plus de 9 000 personnes l'accès au réseau Mastodon, une alternative libre et décentralisée à Twitter. Nous fournissons cet accès sur Mamot.fr, qui n'est que l'un des milliers de nœuds du réseau, chaque nœud étant interconnecté avec les autres. Ceci permet de répartir les coûts entre de très nombreux acteurs qui peuvent ainsi plus facilement les supporter (sans avoir à se financer par la surveillance de masse).

Rejoindre collectivement ces alternatives est bien l'objectif final de nos actions, mais nous pensons pouvoir n'y parvenir qu'une fois chacun et chacune libérée de l'emprise des GAFAM. Nous pourrons alors construire l'Internet de nos rêves, libre et décentralisé, que notre alliée Framasoft construit déjà chaque jour ardemment !


Rejoignez la procédure


Détection des cyberattaques : une nouvelle loi de surveillance

Wed, 18 Apr 2018 11:27:22 +0000 - (source)

Le 18 avril 2018 - Le nouveau projet de loi de programmation militaire (LPM), présenté en Conseil des ministres le 8 février dernier et adopté en première lecture par l'Assemblée nationale le 27 mars, comporte un volet axé sur la cybersécurité. Les enjeux sont importants : lutter contre les attaques informatiques sur les réseaux. Sauf que le dispositif envisagé, reposant sur des boîtes noires – ces sondes dédiées à l'analyse du trafic Internet et placées en différents points du réseau – sous l'égide de l'ANSSI et des grands opérateurs télécoms, ouvre une brèche immense qui, de nouveau, fait planer le spectre d'une surveillance massive de nos communications.

La loi de programmation militaire (LPM) est un exercice législatif qui revient en France tous les 5 ans. La dernière LPM, adoptée en 2013 pour les années 2014-2019, étendait les accès administratifs aux données de connexion. Avec un certain retard, La Quadrature du Net s'était mobilisée contre cette disposition introduite par voie d'amendement lors des débats législatifs puis, avec l'aide des Exégètes amateurs, à travers un recours devant le Conseil d'État.

Cette année, la LPM revient avec une nouvelle mouture pour les années 2019-2025. Dans sa partie « cyber-défense » (chapitre III), ce texte modifie le code de la défense pour donner plus de moyens à l'ANSSI (Agence nationale de sécurité des systèmes d'information) pour veiller à l'intégrité et à la sécurité des réseaux. Et cette année encore, La Quadrature accuse un retard coupable. Alors que certains de ses membres s'étaient rendus le 12 février dernier à une réunion de présentation du projet de loi organisée à l'initiative de l'ANSSI, nous n'avions toujours pas donné notre avis sur le dispositif. Mieux vaut tard que jamais.

Ce texte sécuritaire fourre-tout qui fait l'objet d'un examen express pose problème en tant que tel. Il résulte en effet d'une volonté de faire passer des dispositions portant atteinte aux droits fondamentaux dans le cadre d'une loi de programmation budgétaire, alors qu'elles mériteraient un débat spécifique et approfondi. À cet égard, les dispositions relatives à la cyberdéfense que nous analysons ici doivent se lire dans un contexte plus global : le projet de loi prévoit également l'acquisition de deux drones Reaper militarisés, autorise le recueil de données génétiques par les militaires français à l'étranger, acte la montée en puissance des activités militaires dédiés à la lutte informatique offensive avec la création de 1500 nouveaux postes dédiés, et accorde une immunité pénale à ces « cyber-attaquants », en autres choses.

Ici, nous nous concentrons donc sur la détection des cyberattaques. À ce stade, le Sénat entame donc l'examen du texte en première lecture. S'il est sans doute illusoire d'espérer un rejet en bloc du dispositif, il est encore temps de corriger les sérieux problèmes contenus dans ce texte. Car en l'état, ce dispositif est flou, déséquilibré et attentatoire aux libertés.

Une collaboration entre l'ANSSI et les opérateurs volontaires

En premier lieu, la nouvelle LPM tend à favoriser les mesures de sécurité prises volontairement par les opérateurs de télécommunications1. La réglementation sur la neutralité du Net2 et celle sur la confidentialité des communications3 autorisent déjà les opérateurs de télécommunications à analyser les données de connexion (adresse IP, taille des paquets, port...) afin de « préserver l’intégrité et la sûreté du réseau, des services fournis par l’intermédiaire de ce réseau et des équipements terminaux des utilisateurs finals ».

Cette possibilité, réaffirmée par cette LPM, est complétée par celle de collaborer avec l'ANSSI, en lui transmettant les informations sur les menaces détectées et en utilisant les renseignements transmis par l'ANSSI afin de mieux cibler leurs activités de détection. À cela s'ajoute la possibilité pour l'ANSSI d'obliger les opérateurs à indiquer à leurs abonnés que la sécurité de leurs réseau a été compromise.

Dans la mesure où ces mesures restent volontaires (elles ne sont pas imposées selon les instructions de l'ANSSI), ce dispositif peut paraître légitime. Encore faut-il que l'usage des sondes soit autorisé par les abonnés concernés, qu'il soit transparent et rigoureusement contrôlé. Or, c'est loin d'être le cas.

Les opérateurs doivent être mandatés par leurs abonnés

Il manque un élément clef : le mandat de l'abonné pour la surveillance de son trafic par l'opérateur. Sans cela, ces sondes scrutant l'ensemble du trafic sont une atteinte directe au secret des correspondances, et constituent de ce point de vue un système de surveillance des abonnés. Cette surveillance étant alors opérée par un acteur privé, sans aucun contrôle.

En s'assurant que cette surveillance du trafic résulte d'une demande de l'abonné, le paradigme change. L'opérateur devient agent de l'abonné, agissant à son compte pour les questions de sécurité des systèmes, et l'abonné peut à tout moment décider de retirer sa confiance à cet agent délégataire. On peut supposer que, le secret des communications électroniques étant un principe général du droit des télécoms, la nécessité absolue de cet accord est implicite. Reste que la précision est nécessaire pour éviter tout abus.

Garantir un usage transparent et contrôlé des sondes

Par ailleurs, il faut qu'une autorité de contrôle puisse s'assurer de la bonne utilisation de ces sondes extrêmement dangereuses sur le plan de la vie privée, et qu'elle puisse faire la transparence sur l'utilisation de ces outils maniés par des acteurs privés. Cette autorité, ce devrait être l'ARCEP, à qui le projet de loi donne quelques compétences s'agissant des pouvoirs nouveaux octroyés par l'ANSSI (compétences utilement précisées et renforcées par l'Assemblée nationale, voir plus bas).

Même si le Code des postes et des communications électroniques prévoit bien que l'ARCEP contrôle le respect par les opérateurs de leurs obligations en matière de confidentialité des communications4 et en matière de neutralité du Net, le projet de loi ne prévoit rien de spécifique s'agissant de ces activités de détection de cyberattaques appelées à monter en puissance. La précision aurait sans doute de l'intérêt pour obliger l'ARCEP à les contrôler régulièrement et de manière inopinée, le cas échéant à sanctionner les abus, et à communiquer publiquement sur la nature et les suites données à ces contrôles.

Les nouvelles boîtes noires imposées par l'ANSSI

La nouvelle LPM entend également permettre à l'ANSSI d'agir directement sur les réseaux, en déployant ses propres « boîtes noires » sur les systèmes des opérateurs et fournisseurs d'accès à Internet, ainsi que ceux des hébergeurs5. Suite à un amendement adopté à l'Assemblée, le non-respect de ces obligations par les opérateurs et hébergeurs est désormais passible de sanctions (un an d’emprisonnement et 75 000 euros d’amende).

Ces boîtes noires sont définies comme « un système de détection recourant à des marqueurs techniques à seules fins de détecter des événements susceptibles d’affecter la sécurité des systèmes d’information » (dans une formulation d'ailleurs très proche de celle donnée en 2015 dans la loi renseignement)6. La LPM limite l'utilisation des ces sondes aux cas où l'ANSSI « a connaissance d’une menace susceptible de porter atteinte à la sécurité des systèmes d’information des autorités publiques ou des opérateurs » d'importance vitale (centrale électrique, aéroport, opérateurs télécoms, industries de défense, etc.). Or, ainsi définies, ces dispositions confèrent à l'ANSSI un pouvoir excessif.

Une atteinte injustifiée à la confidentialité des communications

La notion de « données techniques » ou « marqueurs techniques » utilisée dans le projet de loi n'a aucune définition juridique ou technique. Comme l'a relevé le journaliste Marc Rees, il s'agit bel et bien par ce vocable de contourner la jurisprudence constitutionnelle protégeant la confidentialité des communications, pour surveiller le contenu des communications et non les seules métadonnées. D'ailleurs, Guillaume Poupard, le directeur de l'ANSSI, ne se cache pas de la volonté de regarder dans le détail le contenu des communications. Lors de son audition à l'Assemblée nationale, il expliquait ainsi :

Il va donc de soi que nous traitons des données, y compris des données personnelles. C’est pourquoi le texte ne loi ne saurait comprendre une disposition visant à rassurer qui interdirait de toucher aux données personnelles : nous y touchons de fait. L’essentiel est que la finalité reste la détection et que l’on s’en tienne aux données strictement nécessaires et signifiantes. Prenons un exemple : le travail de détection consiste parfois à chercher au fin fond de pièces jointes, dans des courriers électroniques, pour y détecter un éventuel virus caché.

Entendue ainsi, la notion de « marqueurs techniques » contrevient donc directement au secret des correspondances. Or, Guillaume Poupard reconnaît lui-même que beaucoup peut déjà être fait à partir des seules métadonnées (qui renvoient en droit français aux termes de « données de connexion » ou d'« informations et documents », utilisés par exemple par la loi renseignement)7. Ci ces métadonnées peuvent déjà révéler beaucoup d'informations sur notre vie, limiter le pouvoir de surveillance de l'ANSSI à ces seules métadonnées aurait au moins le mérite de ne pas anéantir l'ensemble de l'édifice juridique qui protège encore un tant soit peu peu la confidentialité de nos communications.

Quel degré de surveillance pour quelles menaces ?

De même, la LPM n'établit aucun lien de causalité entre la menace pour les autorités publiques et les opérateurs d'importance vitale, d'un côté, et, de l'autre, les « événements susceptibles d’affecter la sécurité des systèmes » que les boîtes noires doivent détecter. Un tel lien doit être établi afin que l'ANSSI ne puisse analyser le trafic qu'aux seuls points du réseau où elle pourra détecter les menaces affectant les seules autorités et opérateurs qu'elle est censée protéger. Une précision par ailleurs indispensable pour permettre aux opérateurs concernés et à l'ARCEP, qui contrôlera l'action de l'ANSSI dans ce domaine, de s'assurer de la proportionnalité de la mesure de surveillance engagée.

Enfin, la notion de « menace » pour les autorités et opérateurs dont l'ANSSI est chargée d'assurer la protection est également très floue. L'étude d'impact de la loi parle d'une vingtaine de menaces par an seulement qui seraient suffisamment graves pour justifier de telles pratiques. Or, la loi n'offre aucun critère pour les limiter de la sorte et empêcher que des boîtes noires ne soient déployées constamment et en tout point pour prévenir n'importe quel type de menace plus ou moins abstraite – ce qui serait parfaitement injustifiable. Là encore, ces éléments de doctrine doivent figurer dans la loi, et faire l'objet d'une information régulière et transparente afin de permettre aux citoyens et à l'ensemble des acteurs concernés par ces mesures de pouvoir juger de leur proportionnalité.

Une durée de conservation doublée, sans raison valable

Alors que le projet de loi du gouvernement prévoyait que l'ANSSI puisse conserver pendant une durée maximale de 5 ans les « données techniques » collectées, la commission de la Défense nationale de l'Assemblée nationale a doublé cette durée à l'initiative du rapporteur, Jean-Jacques Bridey (député LREM), en la portant à 10 ans. Cette durée semble excessive puisque, comme on l'a vu, les données techniques recueillies sont très souvent des données à caractère personnel. 5 ans paraissent déjà très longs quand on sait que la loi renseignement limite à un mois après leur collecte la durée de conservation du contenu des correspondances.

Les responsables de l'ANSSI irresponsables ?

Quand bien même les nouveaux pouvoirs donnés à l'ANSSI seraient mieux limités, une autorité indépendante doit pouvoir s'assurer que ces pouvoirs ne sont dévoyés à des fins politiques ou de contrôle de la population. Or, le contrôle des activités de l'ANSSI par l'ARCEP, prévu dans le projet de loi, manque singulièrement de mordant.

D'abord, comme l'a souligné l'ARCEP dans son avis rendu sur le projet de loi, se pose d'abord la question du renforcement de ses moyens pour garantir sa capacité à contrôler l'ANSSI. Ensuite, en dépit des précisions apportées par l'Assemblée s'agissant des modalités de ce contrôle8, le texte ne prévoit qu'un contrôle distant, sur la foi de rapports et de documents, mais loin du terrain. Aucune possibilité de contrôler le fonctionnement des sondes installées sur les infrastructures des opérateurs télécoms ou des hébergeurs n'est prévue. Le projet de loi ne prévoit pas non plus que ces derniers puissent saisir l'ARCEP pour faire obstacle aux demandes de l'ANSSI.

Enfin, si elle constate des abus, l'ARCEP ne pourra qu'adopter des recommandations à l'adresse de l'ANSSI. Le texte ne prévoit aucune sanction. Pour faire en sorte que les nouveaux pouvoirs de l'ANSSI soient dûment encadrés, il faudrait aussi poser explicitement dans la loi le fait que le non-respect des dispositions contenues dans ce chapitre « cyberdéfense » sont constitutives des délits prévus en matière de traitements illégaux de données. Ces derniers font l'objet de sanctions pénales, et par ce truchement, toute constatation par l'ARCEP de non-respect des dispositions devra être signalée au Ministère public, lequel pourra ensuite engager une action pénale (voir l'article 40 du code de procédure pénale). En cas d'abus, les responsables de l'ANSSI seront ainsi mis devant leurs responsabilités.

Le droit européen de nouveau bafoué

On sait tout l'irrespect dont font preuve nombre de responsables publics français vis-à-vis des règles européennes encadrant les mesures de surveillance. Ce projet de loi en fournit une nouvelle illustration.

D'abord, parce qu'il ne prévoit aucune information des personnes qui verraient leur trafic Internet scruté par l'ANSSI. Lors de son audition, Guillaume Poupard expliquait ainsi sa volonté d'en passer directement par l'installation de sondes chez les hébergeurs plutôt qu'auprès des personnes ayant loué ses machines :

Bien entendu, nous pourrions demander la permission au détenteur de la machine, à celui qui l’a louée de manière légitime, mais nous ne voulons pas le faire. En effet, dans le meilleur des cas nous tomberons sur une victime que tout cela dépasse complètement : la plupart du temps, ces serveurs sont loués par des particuliers, par des gens que l’on n’a pas envie de mêler à des affaires aussi compliquées. Surtout, le plus souvent, celui qui loue la machine est l’agresseur lui-même.

Or, quelque soit le statut de ces personnes dont le trafic aura été surveillé – victimes innocentes et ignorantes ou cyber-attaquant malveillant –, à aucun moment le projet de loi ne prévoit qu'elles en soient informées (soit pendant la mesure de surveillance, soit après). C'est pourtant là une obligation, qui ressort notamment de la jurisprudence de la Cour européenne des droits de l'Homme (CEDH) et permet l'exercice d'un droit de recours effectif contre ces mesures de surveillance9.

Pour respecter le droit européen, d'autres dispositifs pourraient d'ailleurs être envisagés pour permettre l'exercice d'un droit de recours effectif, comme la possibilité de saisir l'ARCEP pour savoir si nos communications ont été, pour une raison ou une autre, aspirées par l'ANSSI. Le cas échéant, cela permettrait à l'ARCEP de s'assurer ensuite du caractère proportionné de cette surveillance. Si elle constatait une irrégularité, elle pourrait ordonner la destruction des données et saisir d'elle-même le ministère public. Dans le même temps, l'ARCEP devrait s'assurer de la bonne information de la personne surveillée et de la possibilité pour elle de se constituer partie civile.

Il y a deuxième point sur lequel le texte est en contrariété flagrante avec le droit de l'Union européenne, et en particulier la directive européenne de 2000 sur la société de l'information dont l'article 15 interdit aux États d'imposer aux opérateurs ou aux hébergeurs des mesures générales de surveillance. En l'état, l'article 2321-2-1 va bien à l'encontre de ce principe, en prévoyant que l'ANSSI puisse exiger l'utilisation de boîtes noires dans le but de scanner l'ensemble du trafic pour repérer des « cyber-menaces » chez les opérateurs et les hébergeurs.10 Notons que ce sont là les mêmes arguments que nous soulevons contre les boîtes noires de la Direction générale de la Sécurité intérieure (DGSI) dans le cadre de nos recours contre la loi renseignement.

L'ANSSI, ce faux-ami

Pour finir, il faut évoquer une inquiétude de fond s'agissant de l'ANSSI. Car même si les grands pontes de la cybersécurité aiment rappeler l'originalité du modèle français en la matière – avec une agence cybersécurité civile rattachée directement au Premier ministre et ne s'occupant pas de lutte informatique offensive –, force est de reconnaître la porosité croissante entre l'ANSSI et le monde du renseignement pour tout un tas de missions (les intrusions étrangères dans les systèmes d'information de l'État, la gestion des logiciels « chevaux de Troie » utilisés par les services pour réaliser des intrusions informatiques, l'échange de renseignement s'agissant de failles informatiques, etc.).

Cela a pu par le passé conduire à des prises de position pour le moins surprenantes, et en rupture avec l'image bienveillante et soucieuse des libertés que les dirigeants de l'ANSSI prennent soin de cultiver. Ainsi, Next INpact rappelait fin 2015 que, pour le projet du gouvernement de généraliser le chiffrement des mails, l'ANSSI avait tenu à distance des solutions de chiffrement robustes et décentralisées, dites de « bout-en-bout ». Guillaume Poupard disait alors vouloir ménager la possibilité que le trafic email soit accessible en clair en certains points du réseau. Plutôt que de promouvoir un chiffrement fort sans lequel il ne peut y avoir de véritable sécurité informatique, l'ANSSI entendait alors ménager les capacités de surveillance des services de renseignement et de police. On sait aussi que les services de renseignement ont joué un rôle de premier plan dans la rédaction de ce projet de loi.

Aujourd'hui, les dirigeants de l'ANSSI sont peut être sincères lorsqu'ils évoquent leur volonté de minimiser l'impact sur les libertés, la neutralité du Net et le droit au chiffrement de ces mesures de détections des attaques. Mais qu'en sera-t-il demain ? L'ANSSI – et les pouvoirs nouveaux dont la dote cette nouvelle LPM –, évolue dans une réalité institutionnelle qui la rend très perméable aux dérives sécuritaires. Raison pour laquelle un modèle de cybersécurité plus décentralisé, extirpé au maximum du secret d'État et misant sur la capacitation de l'ensemble des acteurs et utilisateurs d'Internet, aurait mérité d'être sérieusement envisagé et débattu publiquement. Au lieu de ça, le choix a été fait de présenter une nouvelle loi de surveillance, en procédure accélérée.


Attaquons les GAFAM et leur monde

Tue, 17 Apr 2018 12:15:25 +0000 - (source)

17 avril 2018 - Nous avons lancé hier notre campagne d'actions de groupe contre les GAFAM. Jusqu'au 25 mai (jour du dépôt des plaintes devant la CNIL) toute personne vivant en France peut nous rejoindre sur gafam.laquadrature.net. C'est sur la base de ces premières actions que nous pourrons, sur le temps long, déconstruire méthodiquement le monde qu'ils tentent de nous imposer.

imagecontregafam

Nous n'attendrons pas le 25 mai, jour d'entrée en application du règlement général sur la protection des données (RGPD), pour agir. Nous n'avons plus à attendre.

Ce règlement européen (que nous avions ardemment défendu il y a 3 ans) nous donne enfin l'opportunité de renverser la grande farce sur laquelle les GAFAM ont construit leur monde : le « consentement » que nous leur donnerions, pour qu'ils sondent notre esprit et influent nos volontés, ne vaut rien. Il est vulgairement monnayé contre l'utilisation de leurs sites et applications.

Or, le droit européen est maintenant clair : un consentement monnayé, bradé, ne vaut rien et ne suffit plus à rendre légale leur surveillance de masse1. Ce « consentement » de paille ne saurait donc plus longtemps servir d'alibi à Zuckerberg et aux autres pour nous rendre responsables de la perte de notre vie privée et de la destruction de nos liens collectifs.

Nos actions de groupe se baseront sur ce seul argument juridique, la fausseté du consentement, car il attaque à sa racine le monde ultra-centralisé (pour eux) et individualiste (pour nous) qu'ils espèrent pouvoir imposer.

Notre campagne de 40 jours consacrera chaque semaine à chacun des GAFAM, pour comprendre la spécifité de l'emprise de chacun d'eux. Mais ce n'est qu'une première étape : les GAFAM ne sont que le symbôle d'un monde qu'il faudra, une fois cette étape passée, déconstruire méthodiquement : contre leurs alliés (sites de presse ou du gouvernement), qui diffusent leurs mouchards partout sur Internet, contre les administrations avec lesquelles ils vivent le grand amour et contre toutes les entreprises ‑ notamment françaises - qui ont embrassé leurs ambitions de manipulation de masse, Criteo en tête.

Cette première étape doit donc être la plus puissante possible, car c'est d'elle que partira le reste.

Puissante comment ? En mettant la CNIL au pied du mur. En déposant sur son bureau une plainte réunissant tant de personnes qu'elle ne pourra pas refuser de la traiter avec la fermeté requise sans perdre toute légitimité. Et le nouveau règlement lui donne enfin les moyens de cette fermeté : des amendes de 4 % du chiffre d'affaire mondial.

Que ce soit clair : cette première étape est si décisive que nous ne pouvons entièrement la laisser dans les mains de la CNIL. Si, au 3 septembre, elle n'a encore entamé aucune démarche, nous porterons nos actions devant l'autorité judiciaire, civile ou pénale, qui a elle aussi le pouvoir de nous défendre.

Enfin, comprenons bien que ces actions auront nécessairement une répercution européenne, si ce n'est mondiale. Le processus de coopération entre les différents États membres de l'Union européenne prévu par le nouveau règlement impliquera manifestement que nos actions soient, en fin de course, tranchées au niveau européen. Nous invitons donc les populations de chaque État membre à reprendre l'initiative entamée en France dans leur pays : nos actions se retrouveront au sommet !

Fichier attachéTaille
contrelesgafam.png12.43 Ko

Powered by VroumVroumBlog 0.1.32 - RSS Feed
Download config articles