Catégorie : Protection des données

Safe harbour - Ntic

Invalidation du Safe Harbor (Schrems c/ Facebook): Recommandations pour la Suisse

I.  Introduction

Dans une décision datée du 6 octobre 2015, (Décision C-362/14 – Affaire Max Schrems c/ Facebook ou “Schrems I”) la Cour de Justice de l’Union Européenne (CJUE) a invalidé la décision 2000/520/CE qui considérait le “Safe Harbor” comme une base suffisante pour le transfert de données personnelles aux États-Unis. Depuis cette décision, les 4’500 entreprises qui ont transféré des données personnelles vers les USA sur la base du Safe Harbor doivent vérifier que leur politique de protection des données est conforme au droit européen.

Comment en est-on arrivé là, quelles sont les répercutions pour les entreprises et pour les données des individus ? Un début de réponse dans les recommandations du Groupe de l’Article 29 et dans celles du Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT).

II.  Résumé de l’affaire

Maximilian Schrems, un utilisateur de Facebook en Autriche, considère que Facebook ne respecte pas les principes de la protection des données lorsqu’elles sont transférées par Facebook aux Etat-Unis. En effet, ces données peuvent être accessibles par les autorités américaines sans que la personne concernée ne puisse s’y opposer. Comme beaucoup d’entreprises actives dans le domaine de l’informatique, le siège européen de Facebook est situé en Irlande qui sert de pont avec les USA; dans notre cas pour le rapatriement des données personnelles.

Cet utilisateur de Facebook dépose donc une plainte auprès de la Commissaire irlandaise à la protection des données pour interdire à Facebook le transfert de ses données aux USA. La Commissaire refuse d’entrer en matière puisque, selon elle, il découle de la décision 2000/520/CE instituant le Safe Harbor que les Etats-Unis disposent d’une niveau de protection adéquat pour garantir le respect des principes de la protection des données des individus européens.

Après cet échec, Max Schrems porte l’affaire devant la High Court of Justice of Ireland, qui renvoie l’affaire à la CJUE pour lui poser une question à titre préjudiciel. La Cour irlandaise demande alors si les autorités nationales disposent de la compétence de se saisir d’une plainte d’un individu alors que la décision 2000/520/CE garantit déjà, au niveau européen, que les Etats-Unis sont considérés comme un pays sûr concernant la protection des données.

La CJUE répond de manière claire et sans appel que le Safe Harbor ne permet plus, au vu des méthodes de surveillance massives américaines, de garantir aux citoyens européens une protection adéquate de leurs données lorsqu’elles sont transférées aux Etats-Unis. Elle donne donc raison à M. Schrems et juge que la décision 2000/520/CE est invalidée.

Il appartiendra dès lors à la Commissaire irlandaise à la protection des données d’examiner, dans le cas concret, si les mesures de sécurité mises en place par Facebook sont suffisantes pour garantir un niveau de protection adéquat des données des utilisateurs.

III.  Conséquences en Europe

Suites de l’affaire Snowden

Cette décision de la CJUE est une conséquence directe des révélations de l’Affaire Snowden sur les programmes de surveillance PRISM/US-984XN et  XKeyscore. Sans ces révélations, il est probable que la CJUE ne soit jamais parvenue à décréter que cet accord cadre n’était plus suffisant. Les quelques 4’500 entreprises qui se sont basées sur le Safe Harbor pour transférer leurs données aux USA sont placées dans un flou juridique.

Depuis le 6 octobre 2015, tout transfert de données aux Etats-Unis par des entreprises ayant basé ce transfert sur le Safe Harbor est illégal. Actuellement, les entreprises peuvent poursuivre le transfert des données aux Etats-Unis si :

  • des conventions intra-groupe intégrant des “clauses contractuelles types” reconnues par l’Union européenne sont mises en places
  • en ‘intégrant de “Binding Corporate Rules” (BCR), dont les lignes directrices peuvent être consultées ici
  • lorsque les conditions pour déroger aux conditions légales sont réunies (consentement préalable explicite de l’utilisateur, transfert des données en respect d’une obligation contractuelle, etc.).
  • Il existe également des modèles de conventions pour le transfert de données garantissant le respect des principes légaux (“Transborder Data Flow Agreement”).

Réactions au niveau européen

Après l’arrêt Schrems c. Facebook, les autorités européennes de protection des données n’ont pas tardé à réagir. Dans un communiqué du 16 octobre 2015, le Groupe de travail de l’Article 29 (le G29 est institué par l’article 29 de la directive européenne sur la protection des données personnelles – Directive 95/46/CE) a émis des recommandations dans lesquelles il impartit un délai de 3 mois aux institutions européennes et aux gouvernements pour renégocier un Safe Harbor compatible avec les principes européens de la protection des données. Les autorités nationales, dont notamment la CNIL, sont prêtes à se coordonner pour entreprendre des actions répressives concertées (par exemple exiger la suspension de tout transfert de données aux Etats-Unis) si un accord n’est pas trouvé d’ici au 31 janvier 2016 !

IV.  Recommandations du Préposé en Suisse

Recommandations aux entreprises

Comme on peut le lire dans sa dernière communication datée du 22 octobre 2015, le Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT) se calque sur la décision européenne et considère que l’équivalent suisse du Safe Harbor européen (le US-Swiss Safe Harbor Framework) n’est plus une base légale suffisante tant que la Suisse n’aura pas renégocié un accord suffisant avec les Etats-Unis.

A la différence de l’Europe, la Suisse n’a pas dénoncé le Safe Harbor alors que la situation est connue depuis longtemps, aucune décision judiciaire n’a été rendue et l’analyse du PFPDT n’est parue que via son site web, relève Me Sylvain Métille sur son blog. Selon le Préposé Fédéral suppléant à la protection des données, M. Jean-Philippe Walter, “La Suisse est liée par la décision d’adéquation et ne peut faire cavalier seul au risque que l’UE revoie sa décision“. De plus, il revient au Conseil Fédéral de dénoncer, cas échéant, le Safe Harbor et non au Préposé. Tout en rappelant qu’il ne s’agit que de  recommandations, le Préposé suppléant précise que cette prise de position s’adresse aux entreprises qui devraient suivre les recommandations du Préposé, soit :

  • Informer de manière claire et aussi exhaustive que possible les personnes dont les données sont transmises aux États-Unis des accès possibles des autorités, afin de leur permettre d’exercer leurs droits. Le contrat d’échange de données personnelles devrait prévoir un engagement des parties contractantes dans ce sens
  • Prévoir un engagement des Parties à mettre à la disposition des personnes concernées les outils nécessaires à une protection juridique efficace conformément à l’article 6, al. 2, let. a, LPD, à exécuter réellement les procédures correspondantes et à accepter les décisions qui en résultent.

Qu’en est-il des individus ?

En Europe, tout dépendra des résultats de l’enquête menée par la Commissaire irlandaise. Si elle constate que Facebook ne garantit pas une sécurité suffisante aux utilisateurs pour le transfert de leurs données aux USA, tout détenteur européen d’un compte pourrait requérir de Facebook l’interdiction du transfert de ses données. Une situation bien improbable. En effet, dans une telle hypothèse Facebook s’empressera de modifier ses conditions générales, informera les utilisateurs d’une potentielle atteinte à leurs droits par les autorités américaines et recueillera, le cas échéant, leur consentement pour continuer à utiliser la plateforme sociale.

En Suisse, tout individu qui se considère qu’une entreprise viole les règles de la protection des données à son égard peut s’adresser aux tribunaux civils pour faire constater, cesser ou interdire toute atteinte. Les mesures repressives qui existent en Europe n’ont pas d’équivalent en Suisse et le PFPDT ne peut qu’émettre des recommandations, sans possibilité d’agir directement. Il ne peut qu’inciter les entreprises à respecter les principes de la LPD ou les utilisateurs à agir par la voie civile.

VI.  Conclusion

Même si les entreprises suivent les recommandations émises en Europe ou en Suisse, le droit américain, notamment le FISA Act, ne sera pas pour autant modifié et on connait les difficultés concrètes permettant de changer la législation américaine tant du point de vue politique que juridique. Seuls les gouvernements pourraient avoir de l’influence dans le cadre de la mise en place du Safe Harbor 2.0 dont nous devrions avoir des nouvelles d’ici au 31 janvier 2016. Il appartiendra aux entreprises américaines de faire l’effort ou non d’améliorer les conditions de sécurité des données dans leur convention intra-groupe ou, pourquoi pas, de créer leur data center en Europe, tant on sait que le Big Data est devenu aujourd’hui le pétrole du XXIe siècle.

Il s’agit tout de même d’une victoire de principe pour les défenseurs de la vie privée sur Internet, notamment par le biais de la protection des données personnelles. Aujourd’hui, les Etats-Unis ne sont plus considérés, par l’Europe, comme un pays sûr en matière de protection des données, ce qui concrétise les révélations d’Edward Snowden du 9 juin 2013.

L’arrêt Schrems c. Facebook consacre le principe de la compétence des autorités de protection des données pour examiner une plainte d’un individu qui prétend qu’une entreprise viole la loi sur la protection des données (Voir § 47 à  57 de la décision C-362/14). Cet arrêt continuera à s’appliquer même avec un Safe Harbor 2.0 considérant à nouveau les Etats-Unis comme un pays sûr. Dans chaque cas, les citoyens européens pourront demander aux autorités de vérifier si l’entreprise respecte les principes de protections des données ou non.

Un petit pas pour l’individu et la protection des données personnelles en Europe, un tout petit pas pour la Suisse, dont les autorités de protections des données ne disposent d’aucun moyen répressif, et qui suit son homologue européen.

Cancer - NTIC

Bientôt un registre national des cancers en Suisse

I. Introduction d’un registre national des cancers en Suisse

Selon l’Office fédéral de la statistique, les maladies cardio-vasculaires et le cancer (tumeurs malignes) sont les principales causes de décès en Suisse pour la population âgée entre 45 et 84 ans. La Suisse compte actuellement quatorze registres cantonaux et régionaux des tumeurs, en plus d’un registre suisse du cancer de l’enfant. Ces informations couvrent 94% de la population, mais ne sont pourtant pas uniformes et ne peuvent donc être utilisées que de manière limitée. Le projet de loi du 29 octobre 2014 vise à instaurer un registre national afin d’uniformiser la récoltes de ces données. Selon le message du Conseil fédéral qui accompagne ce projet, “L’enregistrement des cas de cancer de manière exhaustive et intégrale sur l’ensemble du territoire suisse offre une base de données pour progresser encore en matière de prévention, de dépistage précoce et de traitement des maladies oncologiques“.

II. Projet de loi du 29 octobre 2014

Collecte et utilisation des données médicales

Le projet de loi fédérale sur l’Enregistrement des Maladies Oncologiques “P-LEMO” règle la collecte, l’enregistrement et le transfert des données médicales afin de pouvoir les évaluer et les publier au niveau national.

La transmission des données médicales sera opérée au moyen de numéros de cas, sans le nom, ni le prénom, l’adresse et le numéro d’assuré du patient. Il est prévu qu’elle puisse s’effectuer grâce à un service de pseudonymisation. Concernant les dates de naissances et de décès, seuls le mois et l’année seront transmis. Les données originales sont détruites après enregistrement, au maximum après cinq ans de conservation.

La Confédération étant compétente pour légiférer en matière de santé publique, en particulier en ce qui concerne les maladies très répandues et les maladies considérées comme particulièrement dangereuses (art. 118 al. 2 let. b de la Constitution suisse), elle mettra en place un organe national d’enregistrement du cancer qui récoltera les données transmises par chaque canton (art. 8 P-LEMO).

III. Droits des patients

Maîtrise ses informations et droit d’opposition

D’un point de vue juridique, les données médicales constituent des données sensibles au sens de la Loi fédérale sur la Protection des Données (art. 3 lit. c ch. 2 LPD). Le respect de conditions légales particulières est nécessaire lorsque de telles informations sont collectées, stockées, traitées, divulguées. Si la LEMO est adoptée, il s’agira d’une loi spéciale (lex specialis) relative aux données médicales sur les tumeurs malignes. Elle régira le cas spécifique de la collecte et de la publication de ces données.

Avant de transmettre ces données médicales, les registres devront observer un délai de carence fixé par le Conseil fédéral. En cas d’opposition de la personne concernée durant ce laps de temps, les informations seront immédiatement détruites. De même, si un patient exprime son refus plus tard, les données déjà enregistrées devront être anonymisées.

Information du patient

Les patients devront être informés, en principe par le médecin traitant, du but de la collecte des données et de leurs droits. L’organe national d’enregistrement devra les soutenir si nécessaires. Les patients auront en tout temps le droit de demander des renseignements au sujet de leurs données pour connaître la manière avec laquelle seront traitées ces données médicales.

Catégories d’informations dans ce registre

Deux catégories d’informations sont prévues.

1) Les données de base concerneront la personne, son diagnostic, son premier traitement lié à l’apparition des métastases ainsi que le service chargé de la déclaration. Elles permettront d’évaluer les maladies oncologiques par rapport à l’ensemble de la population (art. 3 al. 1 P-LEMO).

2) Les données supplémentaires serviront à répondre à des questions concernant certains cancers particulièrement fréquents (comme ceux de l’intestin, du poumon ou du sein) ou certains groupes de personnes (enfants et adolescents). Leur collecte sera temporaire et nécessitera l’autorisation du Conseil fédéral (art. 4 al. 1 P-LEMO).

IV. Conclusion

Ce projet de loi devrait permettre d’uniformiser la récolte et le traitement de données médicales sur les cancers recensées au sein de la population de tous les canton. La loi qui permet en outre de laisser la porte ouverte à la création d’autres bases de données pour d’autres types de maladies non transmissibles jugées graves aura également l’avantage de centraliser toutes ces données à des fins de prévention, de traitement et de recherche.

Tails 1.0 : live OS 100% anonyme et confidentiel ?

I.     Tails 1.0

1.1   Sortie de la version 1.0 en français

Depuis le 29 avril 2014, le dernier né du site torproject.org est disponible en téléchargement :

Tails 1.0, un système d’exploitation complet et gratuit, sécurisé, qui vous protège contre la collecte de vos données et augmente l’anonymat sur Internet. Notamment utilisé par Edward Snowden et Glenn Greenwald en juin 2013, il est “all-in-one” et bootable depuis une clef USB ou un DVD.

1.2     Caractéristiques

Son petit nom the amnesic incognito live system.

Tails 1.0 est un système d’exploitation amnésique parce qu’il n’enregistre pas vos données de navigation et les efface à la fermeture du programme. Il est incognito parce qu’il garantit la confidentialité du trafic et des données en cryptant vos fichiers, emails et contenu de chat.

Enfin, comme d’autres logiciels existants (voir Bouldows par exemple), il s’agit d’un système d’exploitation live, c’est-à-dire qu’il peut être lancé simplement depuis une clef USB, une SD card ou un DVD. Il embarque également toute une panoplie de logiciels libres pour que l’utilisateur ait le moins de paramétrages à effectuer après l’installation. Cet OS est distribué sous licence GNU/GPL et comporte des logos sous licence Creative Commons ou provenant de thenounproject, comme pour le logo USB du Tails.

Sur le site Internet officiel, on apprend qu’il est destiné aux utilisateurs qui souhaitent :

  • utiliser Internet de manière anonyme et contourner la censure ;
    toutes les connexions sortantes vers Internet sont obligées de passer par le réseau Tor ;
  • ne pas laisser de traces sur l’ordinateur que vous utilisez sauf si vous le demandez explicitement ;
  • utiliser des outils de cryptographie reconnus pour chiffrer vos fichiers, emails et messagerie instantanée.

II.    Tor Project & Cie

Tor Projects (logo)Le Tor Project est un projet qui regroupe des développeurs plaidant pour les logiciels open-source, sécurisés, anonymes, cryptés, non traçables, gratuits, soit en quelques mots non commerciaux, confidentiels et respectant totalement la vie privée de ses utilisateurs. Le terme Tor est un acronyme pour “The Onion Router”, en référence à son système de fonctionnement par couche de routeurs permettant de rendre anonymes tous les échanges Internet basés sur le protocole de communication TCP.

Dans le même registre, et pour ne pas citer tous les autres projets existants, le Guardian Project constitue une bonne ressource complémentaire pour le public, mais surtout pour les  développeurs de logiciels libres et applications du même type pour les Smartphones.

Applications emails cryptées, browser fonctionnant par serveurs proxy fixes ou sautants, Tchat crypté et anonyme, messages codés par procédé de stéganographie; tout un tas de logiciels qui se démocratisent, deviennent plus communs et de moins en moins élitistes.

III.    A qui est-il destiné et quelle utilisation en faire ? (edit: 01.05.14)

Premier test de Tails 1.0 (aperçu rapide)

Au premier abord, Tails semble accessible à tous, que l’on soit Linux, Windows ou Mac OS. L’utilisateur est guidé pas à pas dans l’installation, puis dans son utilisation. On perd un peu sa zone de confort en devant configurer quelques paramètres de départ, tels que le clavier et la souris, la connexion wifi Internet, le mot de passe administrateur, etc, mais rien de bien méchant pour ceux qui savent installer un OS.

Tails desktop

Pour les utilisateurs de XP, vous retrouverez rapidement vos marques avec une option originale : le “camouflage windows“, soit Tails avec le thème de Windows XP.

Pour les utilisateurs de Mac OS, il faudra serrer les dents, car l’utilisation est moins intuitive. Au premier essai, impossible d’accéder aux données stockées sur le disque dur de mon Mac! D’ailleurs, prenez une souris, car le touchpad d’un Macbook devient vite un enfer (Au démarrage, ne pas oublier d’appuyer sur la touche alt pour lancer le démarrage de Tails depuis un DVD par exemple).

Globalement, Tails est plutôt intuitif, avec beaucoup d’options agréables, comme la possibilité d’avoir un système qui se souvienne de vos paramètres ou qui se met à jour (ce qui évite de tout recommencer à chaque démarrage; par contre il faut lancer Tails depuis une clef USB, car un DVD ne se met évidemment pas à jour). On peut aussi créer une zone de stockage persistante (persistant volume) pour des logiciels supplémentaires ou y stocker ses préférences système et ses données personnelles. On se connecte facilement à Internet et le système de proxys sautants n’empêche pas d’aller sur Facebook ou Gmail. Même si VLC n’est pas intégré à Tails, le lecteur vidéo Totem se défend plutôt bien, puisqu’il lit sans trop de problèmes un .mkv contenant du H264 et de l’audio en AAC, en multi-langues avec des sous-titres au choix.

A titre de conclusion intermédiaire, on peut affirmer que Tails 1.0 est destiné à toucher un public large, et pas seulement les amateurs de pingouins. Il n’est pas nécessaire de savoir entrer des lignes de commandes dans un terminal pour utiliser Tails. Néanmoins, il ne sera pas forcément accessible à tout le monde, car il faudra parfois s’armer de patience avant de retrouver ses repères, surtout que si on le lance à partir d’un DVD, car à chaque démarrage : on recommence! Mais en même temps, c’est le principe du live operating system …

Utilisation très polyvalente

Tails 1.0 embarque de nombreux logiciels libres plus ou moins connus tels que Iceweasel pour Internet (version GNU de Firefox), Claws mail pour la messagerie, Pidgin pour le Tchat, Open office pour les documents, Gimp (l’équivalent de Photoshop) pour la bureautique ou encore TrueCrypt pour crypter ses données. Ce système d’exploitation n’est toutefois pas infaillible, l’utilisateur étant averti qu’il décide comment se comporter sur son ordinateur et choisit de publier ce qu’il souhaite sur les réseaux sociaux. Bien choisir ses mots de passe et les changer régulièrement reste indispensable.

Attention tout de même à l’utilisation de logiciels tels que Tor Browser. Ce dernier reste bien plus lent qu’un navigateur conventionnel. En effet, bloquer les publicités, le contenu de scripts, les logiciels espions, stopper les cookies, passer par des proxys sautants ou encore crypter les données est coûteux en temps d’analyse et de traitement et la plupart des sites Internet ne sont pas adaptés à cette configuration. De plus, la plupart des sites e-commerce ou des plateformes sociales ou même d’autres sites ordinaires ne s’afficheront tout simplement pas si les cookies ne sont pas acceptés, ou si certaines options de cryptages, blocages ou autres sont activées. Il en va de même lorsqu’avec Firefox on navigue avec trop de modules complémentaires tels que Ghostery, Adblock Plus, Donottrackme, etc.

Ainsi, utiliser Tails est relativement simple et les nombreux logiciels qu’il contient permet une utilisation de tous les jours, mais pas pour n’importe qui et n’importe comment.  Les possibilités d’installer certains logiciels supplémentaires et sauvegarder ses préférences sont garantes d’une longévité du projet, mais cela suffira-t-il pour une utilisation grand public? Quant à une utilisation professionnelle à grande échelle dans le secteur privé ou public, ce sera une autre paire de manche…

IV.    Conclusion

De nombreux projets comme le Guardian ou Tor sont indispensables pour aider la communauté du web à respecter la vie privée des utilisateurs. Les développements récents de ces logiciels permettent d’atteindre un public de plus en plus large. A ce titre, il faut saluer l’énorme travail des communautés de développeurs de ce genre de logiciels libres. Ces projets ont le mérite d’inciter les gouvernements à promouvoir et même utiliser de tels logiciels. Le Tribunal fédéral suisse en est le parfait exemple avec son projet “OpenJustitia“.

Cependant, en pratique, peu de ces programmes sont vraiment utilisés par la majorité des internautes. Pour commencer, ces logiciels ne sont pas ou que trop peu connus du public, lequel n’est souvent pas au courant de l’existence même des alternatives et ne cherche souvent pas à le savoir. Ensuite, ces logiciels ont souvent été peu “user friendly”. La difficulté de paramétrage, leur installation ou leur utilisation rebutera plus d’un novice motivé qui souhaite se protéger, mais qui ne maîtrise pas ou ne comprend pas l’outil proposé. Enfin, le design parfois trop geek fait souvent reculer le citoyen lambda, dans un monde de matraquage médiatique ou l’on pense que, parce que c’est joli c’est bien!

En allant faire un tour sur les sites de Tor Project et Guardian Project, on constate alors que de nombreux logiciels libres existent. Ils sont souvent plus simples d’utilisation qu’on ne le croit et permettent déjà de diminuer considérablement nos traces sur Internet (voir l’article sur Panopticlic) et de conserver l’anonymat.

Et vous, avez-vous testé Tails 1.0 ou pensez-vous l’utiliser un jour?

Pour aller plus loin

Parmi les projets intéressants en cours utilisables pour PC, Mac ou Smartphones :

  • Tor Browser;
  • Le site guardianproject.org qui propose toute une palette d’applications web pour rendre son séjour sur Internet plus agréable;
  • Orweb, la version Android de Tor Browser;
  • Orbot : un logiciel pour Android qui utilise des serveurs proxys;
  • Startpage : un moteur de recherche neutre qui ne fournit aucune information à des tiers.
  • JonDo et JonDoFox : des logiciels similaires à  Tor Browser;
  • et des dizaines d’autres … !
Google Glass

Google glass : mise au point et enjeux juridiques

I.    Un gadget aussi attendu que controversé

1.1  Introduction

Les “Google glass” (ci-après : “GG”) sont très attendues des amateurs de nouvelles trouvailles technologiques. Pour reprendre les termes utilisés dans une lettre interpelant Larry Page, CEO de Google, au sujet des risques de ces lunettes sur la vie privée :

« Google Glass includes an embedded camera, microphone and GPS, with access to the Internet ».

Ces lunettes n’en finissent plus de défrayer la chronique, faisant l’objet de spéculations diverses et variées sur leurs fonctionnalités, utilités, risques et dérives possibles. Les internautes, blogueurs ou journalistes se régalent à imaginer jusqu’où pourraient aller Google avec son nouveau gadget qui devrait être commercialisé pour 2014 aux Etat-Unis. En plus de certaines personnalités, quelques 8’000 internautes ont déjà eu la dispendieuse opportunité de les essayer pour la modique somme de $ 1’500.- dans plusieurs villes américaines. Essayer ces lunettes en primeur devait conduire ces chanceux utilisateurs à proposer à Google des suggestions d’utilisation. Au lieu de rémunérer les individus pour leurs idées, la firme de Mountain View n’hésite donc pas à faire du crowsourcing payant, concept cyber-économique plutôt intéressant, tout comme le système de rémunération par « publicité augmentée » (« ADmented Reality »).

Si le potentiel des GG en réjouit plus d’un, il en fait pâlir bien d’autres, pour des raisons évidentes liées au respect de la vie privée. Pour un ordinateur qui tient sur le bout du nez, ce gadget à réalité augmentée, au look sobre et futuriste, mérite que l’on y prête un peu l’œil.

1.2  Possibilités techniques

Malgré le flop de « Google Goggles », les Google glasses en sont un peu l’évolution, mais avec fonctionnalités et possibilités techniques bien plus étendues. Les vidéos disponibles sur le net présentent ce produit comme attractif, conceptuel, futuriste, performant. Selon la page d’accueil du produit, les GG seraient dotées d’une caméra, d’un microphone, d’un outil d’analyse de l’environnement (sonore et visuel). Le tout serait commandé soit vocalement, soit par des gestes appropriés (zoom avec les mains dans le champ de vision ou réglages sur le coin droit des branches) et une interaction essentiellement basé sur le concept de réalité augmentée.

1.3   Domaines d’application

Le potentiel de ces lunettes pourrait s’avérer énorme dans de nombreux domaines tant privés que professionnels, le tout étant de prévoir un outil suffisamment performant pour une interaction homme-machine afin de pallier aux faiblesses ou imprécisions humaines. Voici quelques utilisations déjà présentées dans les médias ou d’autres que l’on pourrait imaginer.

Utilisation privée ou professionnelle

L’utilisation privée serait sans doute la même que ce qu’il est possible de faire aujourd’hui avec un Smartphone, sauf qu’il serait léger, à commandes vocales, et avec l’avantage de garder les mains dans les poches.

Pour une utilisation professionnelle, tout est également imaginable, notamment pour des travaux qui nécessiteraient l’intervention humaine avec une grande précision (horlogerie, microtechnique, médecine, etc.) ou des informations complémentaires en temps réel. Des fonctions telles que le zoom, l’analyse en temps réel de données visualisées, la connexion à une ou plusieurs caméras bénéficiant d’un angle de vision complémentaire affiché sur l’un des verres, etc.

Domaine médical / e-Health

L’e-Health est l’un des grands domaines d’avenir pour la propriété intellectuelle, l’innovation et l’industrie, en particulier en Suisse. Une application prévue pour les GG dans le domaine de la chirurgie ou du secourisme pourrait être d’un grand avantage pour le corps médical et les soignants. Les GG intègreront une fonction Insight dont l’objectif est l’identification d’une personne par l’analyse de son visage, de ses caractéristiques vestimentaires, ses bijoux, voire de ses tatouages, etc.

Grâce à cette technologie, de telles lunettes pourraient servir, en cas d’accident, à identifier une victime de la route retrouvée inconsciente, sans papier d’identité. Elles permettraient au secouriste d’avoir un accès immédiat au dossier médical du patient afin d’obtenir les informations nécessaires à son secours (groupe sanguin, allergies/réactions à un antibiotique, etc.) et/ou à sa volonté (directives anticipées, etc.). Cela devra supposer que la victime/patient soit reconnaissable par les GG avec un degré de certitude très élevé. En effet, on n’ose imaginer le nombre de fautes médicales que pourrait engendrer les décisions de secouristes fondées sur des suggestions de cet appareil en cas de défaillance ou d’imprécisions. Ce genre d’application ne devra être envisagé qu’après de nombreux tests et autorisations dans le domaine de la santé publique, ce qui n’est pas encore pour demain.

D’autres personnes, tels les malvoyants, pourraient bénéficier de ces lunettes pour se déplacer (système de navigation GPS, reconnaissance des lieux en temps réel, obstacles, etc.).

Autres applications

Parmi les secteurs intéressés, on peut dénombrer celui du jeu vidéo (même si Google planche sur sa propre console), du sport (port des lunettes par les arbitres) ou de l’industrie du porno qui vient de faire la bande annonce d’un faux film X dans une parodie de l’utilisation de ces lunettes. Certains esprits inventifs vont même jusqu’à imaginer leur utilisation, sous forme parodique, pendant un entretien d’embauche afin d’analyser en direct le passé, les activités, le réseau, les goûts, et autres atouts du candidat au poste. Bien d’autres idées seront à venir, comme pendant une balade dans la nature, ou pour retrouver sa voiture parquée on ne sait plus où…

II.    La prohibition déjà initiée

2.1   Les craintes de leur entrée sur le marché

Malgré les nombreuses applications ludiques, d’utilité publique ou professionnelles, la perspective de l’entrée sur le marché de ces lunettes inquiète. Les craintes sont doubles. Il y a d’une part les craintes d’une intrusion dans la vie de l’utilisateur et d’autre part une intrusion dans la sphère privée des sujets passifs de ces lunettes.

Le risque pour les utilisateurs serait celui de faire l’objet de publicité ciblée basée sur l’interaction avec l’environnement, voire d’une surveillance directe ou indirecte « sous Google Glass ». Pour les sujets passifs, c’est l’intrusion dans leur vie privée au moyen de photographies, de films ou d’enregistrements audio, pris instantanément et envoyé sur les réseaux sociaux, sans le savoir, mais surtout sans le vouloir.

2.2   Quand la loi précède la technique

Les GG n’auront pas leur place là où les appareils photos, caméras, ordinateurs et autres Smartphones sont prohibés (banques, casinos, cinémas, spectacles, etc.), rien de bien surprenant. Une fois n’est pas coutume, et alors même que le produit de Google n’est encore qu’en phase beta, diverses institutions ou organismes étatiques, publics ou privés, ainsi que des personnes physiques ou morales tentent d’anticiper la sortie de ce gadget en vue de prévenir des situations potentiellement conflictuelles.

Dix organismes de protection des données (dont notamment Hanspeter Thür, l’actuel Préposé fédéral à la protection des données et à la transparence en suisse (PFPDT) et la Commission nationale de l’informatique et des libertés en France (CNIL)) ont déjà adressé une lettre à Larry Page face aux inquiétudes liées à la manière avec laquelle les données des utilisateurs seraient collectées et traitées. Cette lettre contient plusieurs questions pertinentes liées aux risques pour la vie privée des utilisateurs et des citoyens, notamment sur la manière avec laquelle toutes ces données seront collectées et traitées par Google.

Interdiction préventives

Aux Etats-Unis, elles seront déjà interdites à Las Vegas, en particulier dans la plupart des casinos de la ville, ainsi que dans le bar de Seattle « 5 Point bar », premier établissement à rendre illégal le port de ces lunettes avant même leur commercialisation.

Au Royaume Uni, alors que Google souhaite concurrencer les fabricants de GPS pour voiture, le porte-parole du ministère des Transports britannique a déclaré récemment que les GG seraient interdites au volant, car elles comportent un risque trop élevé de distraction, même si elles ont pour but de guider le conducteur lors de son itinéraire. L’Etat de Virginie aux USA travaille sur un projet de loi similaire en vue d’une interdiction au volant. En effet, cette initiative fait suite à un article publié sur le site CNET intitulé “la vérité sur la conduite sous influence des Google Glass“, qui a fait fortement réagir l’opinion publique et par conséquent le monde politique.

En France, de telles lunettes seront d’office prohibées au volant, puisque l’art. R412-6-2 du code la route prévoit que « Le fait de placer dans le champ de vision du conducteur d’un véhicule en circulation un appareil en fonctionnement doté d’un écran et ne constituant pas une aide à la conduite ou à la navigation est interdit ».

III.    Situation juridique en Suisse

3.1    Contexte privé ou public

Pour autant qu’elles soient commercialisées en Suisse, chacun pourra sans doute les porter sans que cela ne pose de problème dans un contexte privé, par exemple entre amis ou en famille. A partir du moment où une personne sera munie de GG, chacun pourra faire l’objet d’une « capture d’écran », sans forcément le savoir, ni le vouloir.

Dans un lieu public, (bar, transport public, parc, manifestation, etc.), plusieurs questions juridiques sensibles liées à leur utilisation devront se poser, en particulier quant au respect de la sphère privée.

3.2    Protection des données et respect de la sphère privée

Lieu de la collecte et du traitement des données

En premier lieu, et il s’agit de la question la plus sensible, qu’adviendra-t-il des informations traitées par ces lunettes ? Bien que le système des télécommunications soit national pour se connecter par 3G ou 4G à Internet, la plupart des informations devrait transiter de toute manière par les serveurs de Google pour y être stockées au moins momentanément, ce qui veut dire : aux Etats-Unis. Comme l’affaire PRISM en témoigne, il n’est pas certain que nos données locales ne soient pas scannées par la NSA. Elles pourront donc forcément l’être si elles se baladent aux Etats-Unis par le produit de Google. Le contrôle de toutes ses données ne reste donc possible que si elles sont stockées dans son pays, qu’elles sont cryptées et qu’elles ne transitent par aucun des géants du net basé aux Etats-Unis. Difficile donc d’imaginer le faire avant d’avoir pu tester ces lunettes.

Données personnelles et sphère privée

Dès qu’un enregistrement visuel ou audio sera effectué, cela pourrait poser problème. L’un des principes fondamentaux est le respect de volonté de celui qui fait l’objet d’une atteinte. Le consentement constitue un motif justificatif rendant licite une atteinte à la personnalité, notamment la récolte et la transmission de données personnelles. En l’absence de consentement, celui qui collecte des données personnelles à l’insu de la personne concernée agit en principe de manière illégale, car contraire à sa personnalité. Le propriétaire de GG qui serait, par hypothèse, assis dans un transport public et qui serait surpris à filmer, prendre des photos ou enregistrer des conversations sans le consentement des personnes concernées pour les mettre, le cas échéant, sur Youtube, Facebook, Instagram, etc., agirait de manière contraire à la Loi fédérale sur la protection des données personnelles (notamment art. 12 LPD) ou à la personnalité (art. 28 CC).

Le droit pénal réprime également l’enregistrement de conversations sans l’accord de la personne concernée, ce qui peut conduire à une condamnation pénale de l’utilisateur (fondé sur les art. 179bis à 179septies  CP) à une amende ou une peine privative de liberté.

La fonction Insight pourrait s’avérer également très intrusive dans la vie des gens, même si la reconnaissance ne devait se baser, par hypothèse, que sur la récolte d’informations rendues publiques par les utilisateurs eux-mêmes.

3.2  Propriété intellectuelle

Le deuxième domaine sensible concerne les droits de propriété intellectuelle, en particulier le droit des marques (copie d’un sigle, ou d’une marque sans droit) et le droit d’auteur (photos sous copyright, musique, films, livres, etc.). Si l’interdiction dans les cinémas ne fera aucun doute, leur interdiction dans les concerts, dans les théâtres ou les musées ne sera pas forcément évidente. Rappelons qu’en Suisse le droit à la copie privée rend licite la copie d’une œuvre pour une utilisation personnelle ou pour la rendre accessible à son entourage proche (famille ou amis). Une telle copie devient par contre illicite lorsqu’elle provient d’une source illégale ou si elle est rendue publique en dehors d’un cadre privé. Nul doute que Google mettra en place des systèmes de détection de copyright, comme il en existe déjà pour Youtube.

3.3  Circulation routière

Téléphone au volant

En Suisse, l’utilisation d’un téléphone portable au volant est interdite. Plus précisément, la loi fédérale sur la circulation routière (LCR) prévoit que « le conducteur devra rester constamment maître de son véhicule de façon à pouvoir se conformer aux devoirs de la prudence » (art. 31 al. 1 LCR). Ce même conducteur fera l’objet d’une amende de CHF 100.- pour avoir « [utilisé] un téléphone sans dispositif «mains libres» pendant la course »
(art. 3 al. 1 OAM).

L’ordonnance sur la circulation routière dispose que : « le conducteur vouera son attention à la route et à la circulation. Il évitera toute occupation qui rendrait plus difficile la conduite du véhicule. Il veillera en outre à ce que son attention ne soit distraite, notamment, ni par un appareil reproducteur de son ni par un quelconque système d’information ou de communication ». Dans un arrêt 6B_666/2009, le Tribunal fédéral a considéré que le fait de rédiger un SMS au volant était constitutif d’une violation grave des règles de la circulation routière (art. 90 ch. 2 LCR), comportement passible d’une peine pécuniaire ou d’une peine privative de liberté allant jusqu’à trois ans.

Google Glass au volant ?

La conduite d’un véhicule à moteur, voire d’une bicyclette, requiert une attention permanente et une acuité visuelle parfaite. Les GG impliquent plusieurs champs de vision différents avec possibilités d’informations en surimpression sur l’un des verres des lunettes.

Si l’on s’en tient aux dispositions légales et à la jurisprudence précitées, le port de GG par le conducteur du véhicule pourra être rendu illégal si son utilisation est considérée comme propre à rendre plus difficile la conduite du véhicule, ce qui est vraisemblable. Le porteur de GG au volant risquera néanmoins des sanctions tant administratives (retrait du permis) que pénales. Il sera dès lors bien plus prudent pour la sécurité routière et pour éviter toute responsabilité du conducteur de les faire porter par son passager plutôt qu’au volant ou au guidon !

3.4  Procédure pénale

Dans le cadre d’une enquête pénale, les règles de procédure pénale et certaines lois fédérales (notamment la LSCPT et son ordonnance) permettent de surveiller des individus soupçonnés d’avoir commis une infraction particulièrement grave. Serait-il possible, de se connecter directement aux Google Glass ou de demander à Google les données de communications permettant d’effectuer une surveillance rétroactive d’une personne soupçonnée d’avoir commis des infractions graves ?

Les autorités suisses sont capables d’effectuer une surveillance des communications effectuées par Skype, moyen de communication jusqu’alors relativement anonyme. A terme, il ne devrait pas en être différemment pour les GG, mais en pratique obtenir de telles informations dépendra de la manière avec laquelle Google, Facebook et les autres géants du net, seront disposés à collaborer avec les autorités pénales suisses pour leur fournir des données liées aux soupçons ou à la commission d’infractions pénales. Le fait que les serveurs de ces sociétés soient situés à l’étranger, en particulier aux Etats-Unis reste problématique lorsqu’il s’agit d’obtenir des informations rapidement. L’entraide pénale internationale est souvent un obstacle fatal lorsque des infractions sont commises grâce aux nouvelles technologies, en raison de la lenteur du processus d’entraide. La conservation des données est souvent trop courte, même si elle devrait être étendue à 12 mois (voir l’arrêt 1B_128/2013 du 8 mai 2013) si la révision législative de la LSCPT et de son ordonnance aboutit à un concensur au sein de l’Assemblée fédérale (à ce sujet, voir la présentation effectuée par Me Patrick Rohner, avocat à l’Office fédéral de la justice).

D’autres domaines du droit devront également jouer un rôle avec l’utilisation de ces lunettes, mais l’idée de cet article n’est pas de faire un parcours exhaustif des enjeux juridiques.

IV.  Conclusion

A l’issue de ces quelques considérations conceptuelles et juridiques, le bilan de leur utilité, mais également des risques et des dérives de ces lunettes est plutôt mitigé. Sur l’île de Thomas Moore, la commercialisation des Google Glass ne ferait trembler personne dans une société composée de citoyens disciplinés, d’entreprises bienveillantes et d’individus à la morale exemplaire.

Les Google Glass et les futurs concurrents de ces lunettes vont-ils révolutionner notre manière d’interagir avec notre environnement ? 2014 sera-t-elle une année de progrès ou un bon de 30 ans en arrière ?

L’ordre juridique suisse semble bien paré à faire bon accueil à ces lunettes et limiter les situations incertaines et utilisations malveillantes. Qu’en sera-t-il en réalité ? Peut-être que leur prix limitera temporairement les dérives…

 

Infinit.io : Partage de fichiers entre amis


Logo - InfinitLe Concept

L’application Infinit, développée par une start-up française et lancée officiellement depuis le mois d’avril 2013, permet l’échange de fichiers entre plusieurs ordinateurs connectés à Internet. Il se distingue des programmes de Peer to Peer (P2P) conventionnels avec un moteur de recherche interne (Emule, Kazaa, etc.) ou externe depuis un site web qui référence des liens de téléchargement au tout public (bittorent). Plus précisément, il s’intègre dans le finder, pour l’instant uniquement sous Mac OSX, sous la forme d’une fonctionnalité intégrée. L’application qui est encore en phase de test consiste, dans les grandes lignes, à partager, avec ses contacts uniquement, sous la forme d’un “glisser/déposer”, des fichiers de toute sorte et d’avoir un contrôle sur son accès et son contenu.

Maîtriser ses fichiers

Les développeurs mettent en avant la maîtrise, par les utilisateurs, des fichiers qu’ils partagent et la possibilité de régler leurs conditions d’accès. Ainsi, celui qui partage un fichier avec ses contacts pourra révoquer l’autorisation d’accès ou modifier le fichier partagé (document word, photoshop, etc.) ou limiter son accès à certaines personnes de son choix. Cette fonction, qui pourrait ressembler à celle de l’Airdrop d’Apple, ou à une version décentralisée de Dropbox, Sugarsync (ou tout autre prestataire de cloud computing), semble intéressante parce qu’elle se focalise sur l’utilisateur et ses “amis” sans l’intervention d’un tiers.

Données chiffrées

Autre élément non négligeable, le programme crypte les données partagées au niveau de l’ordinateur de l’utilisateur, ce qui a pour effet que la société n’a pas la possibilité d’avoir accès au contenu des données. Elle se distingue clairement des sociétés qui stockent les données sur leurs propres serveurs. Ces sociétés hébergent souvent les données à l’étranger, sans garantie pour les utilisateurs qu’elles ne subiront pas le même triste sort de celles qui avaient été stockées par MegaUpload (voir à ce sujet la décision de suppression définitive des données par LeaseWeb).

Une brève présentation de la start-up est accessible ici.

En quoi est-ce intéressant ?

Rapidité et lecture en streaming

La société précise que le téléchargement direct entre utilisateurs permettra une rapidité d’accès bien plus rapide que si les données sont stockées auprès d’un prestataire qui stocke les données ailleurs. A moins que le système démultiplie le téléchargement entre tous les amis en ligne (chacun partageant un bout de fichier), la connexion risque toutefois d’être limitée par les capacités de partage qui doit dépendre de l’abonnement de chaque utilisateur auprès de son fournisseur d’accès Internet.

Selon les développeurs, tout fichier partagé (musique, film, etc.) pourra être lu directement sans attendre la fin du téléchargement, au même titre que du streaming. A l’époque, Napster permettait également de lire en direct le fichier audio alors qu’il n’était pas encore complètement chargé par l’utilisateur.

Pas d’accès aux données personnelles

A la différence de programmes de prestataires de stockage en ligne tels Dropbox, skydrive, etc., le fichier partagé pourra être synchronisé sur chacune des machines connectées et non sur un serveur externe (pour un comparatif entre les différentes plateformes de stockage en ligne voir cet article).

L’intérêt juridique de ne pas passer par un serveur externe est de ne pas soumettre les données de l’utilisateur à une législation d’un autre pays. D’une marnière générale, l’utilisateur conservera donc la maîtrise de ses données dans son pays et selon les règles qui lui sont applicables.

L’autre différence est la sécurité des données transférées ou partagées qui seront cryptées et non disponibles par un prestataire comme Dropbox. Comme on l’a vu dans la presse récente, les plateformes de Cloud peuvent avoir accès au contenu et, le cas échéant, transmettre des documents à un gouvernement qui lui en ferait la demande selon sa législation nationale.

A ce sujet, et en relation avec l’article précédent, vous pouvez consulter quelques articles sur l’étendue de l’accès aux données par le gouvernement américain ici. Concernant Facebook, par exemple, la plateforme se soumet aux injonctions qui lui sont adressées, Twitter, par contre, ne s’y soumet pas.

D’un côté pratique, reste à savoir encore si les données pourront être sauvegardées en cas de perte ou destruction de l’ordinateur et s’il est possible d’avoir accès à ses données depuis un autre appareil, notamment à l’étranger, si son ordinateur est éteint, ce qui ne semble pas être le cas.

Autres applications ?

L’objectif et l’étendue des possibilités de l’application Infinit va probablement au-delà du simple échange de fichiers ludiques. On pourra imaginer une application plus vaste à un secteur professionnel qui garantirait un chiffrage de données à haut niveau prévenant tout risque pour des entreprises de craindre une intrusion par un prestataire Cloud dans les données échangées. Tout l’enjeu étant de réussir à convaincre les entreprises de la force de ce modèle face à la concurrence.

Droit d’auteur

En général

Sous l’angle de la responsabilité, la situation est moins évidente si l’on analyse les questions de droit d’auteur. D’un point de vue technique d’abord, il faudra attendre le produit final pour savoir la manière avec laquelle la société envisage de faire fonctionner son application.

Préalablement, se pose la question du droit applicable et du lieu de résolution d’un litige y relatif. En effet, de nombreuses législations pourraient entrer en ligne de compte. La plupart des conditions générales prévoient un droit applicable ainsi qu’un pays dans lequel le procès doit être intenté, mais qui n’ont souvent aucune valeur lorsqu’il s’agit de protection des consommateurs ou de droit pénal.

Comme bien souvent sur Internet, la législation applicable peut être celle de beaucoup de pays et le lieu pour ouvrir action pourrait se situer n’importe où sur le globe ! Difficile de pouvoir dresser une liste des contraintes qui sont liées aux différents droits nationaux en la matière.

Droit suisse

En Suisse, comme dans la plupart des pays du monde, le droit d’auteur protège toute création de l’esprit, littéraire ou artistique qui présente un caractère individuel. Il peut s’agir notamment de musique, de films, de livres, de logiciels et également, lorsqu’elles sont spécialement protégées, des photographies.

Cette protection n’est pourtant pas absolue, puisque la loi fédérale (suisse) sur le droit d’auteur (LDA) prévoit une exception dite de “copie privée” qui permet à tout un chacun de faire usage d’oeuvres ayant été divulguées (art. 19 LDA), exception faite des logiciels (art. 19 al. 4 LDA). Cette limite au droit d’auteur permet de ne pas requérir l’autorisation de l’auteur pour notamment copier ou divulguer des oeuvres protégées à un cercle limité (famille ou amis). Cela n’est possible que pour autant que la copie n’ait pas de but lucratif et que sa provenance soit licite. Ainsi, une mère de famille qui copie, sur les ordinateurs de la maison, plusieurs oeuvres musicales ne viole pas le droit d’auteur. L’enregistrement d’une émission de radio et son partage à des amis n’est pas non plus contraire au droit d’auteur. Il en va de même pour le partage de la copie privée sur Internet dans un cadre strictement privé et pour autant que la source de la mise à disposition soit licite (acquise légalement, selon l’art. 19 al. 3bis LDA).

Sans entrer dans les détails, le droit suisse sera dès lors applicable si les agissements de celui qui partage sur Internet et/ou celui qui favorise le partage (complice) ont lieu en Suisse. Par conséquent, le partage sur Internet à des amis étrangers de contenu obtenu légalement, depuis la Suisse, n’est pas contraire au droit d’auteur.

Dans le cas d’un éventuel procès pour violation du droit d’auteur (Copyright infringement), seuls les utilisateurs pourraient être recherchés personnellement étant donné l’absence d’intermédiaires techniques. La société Infinit.io n’aurait, vraisemblablement aucune marge de manoeuvre dans le contrôle du contenu échangé, ce qui devrait, a priori, la décharger de toute responsabilité. En effet, alors qu’en général c’est la plateforme P2P qui est recherchée pour avoir permis le téléchargement illégal d’oeuvres sur Internet en sa qualité, ici seul l’utilisateur sera responsable du contenu qu’il partage.

Tout en réservant l’analyse de chaque cas d’espèce, l’échange de fichiers au sein d’une famille et/ou entre amis est parfaitement légal en Suisse, ce qui a pour effet de rendre le système d’échange de fichiers propre à un échange légal de fichiers en ligne en Suisse.

Infinit : zone sans contrôle ?

Enfin, on peut encore se demander si un contrôle du contenu sera effectué à terme dans le cadre de ce système d’échange de fichier. On sait que Google a mis en place, depuis 2007, un tel système pour Youtube grâce à un algorithme de détection automatique de contenu protégé par le droit d’auteur nommé “Content ID“. La firme de Cupertino mettra-t-elle en place un tel système de contrôle du contenu partagé ? Qu’en est-il des concepteurs de l’application Infinit ?

A première vue, il n’existe aucune obligation, en droit suisse, qui impose de mettre en place un tel contrôle a priori, ni même a posteriori pour prévenir ou guérir des cas de violation du droit d’auteur. La jurisprudence des pays avoisinants sur la responsabilité des intermédiaires techniques et des plateformes 2.0 pourra-t-elle s’appliquer à une telle architecture, en particulier l’obligation de supprimer tout contenu litigieux une fois  informé par un tiers ?

Probablement pas. Le modèle adopté par lnfinit, en particulier l’absence d’hébergement externe et la liberté de chaque utilisateur de gérer ses données et de les partager, nécessiterait de scanner les données stockées sur les ordinateurs de chaque utilisateur, ce qui constituerait une immiscion particulièrement grave dans la vie privée et contraire au but même de la société qui privilégie la sécurité et l’absence de contrôle des données. De plus, l’application paraît échapper à toute comparaison avec des plateformes 2.0 connues (Facebook, Twitter, Emule, etc.) par le fait même qu’elle ne stocke rien sur ses serveurs et qu’elle n’a pas d’accès au contenu. Elle ne correspond probablement pas à la définition d’intermédiaire.

On rappelle, dans un autre contexte, l’arrêt de principe relatif à l’affaire “Razorback c. Logistep“, dans lequel le Tribunal fédéral suisse a considéré illicite la pratique d’une entreprise qui récoltait les adresses IP d’utilisateurs, à leur insu, qui téléchargeaient illégalement pour les monayer contre versement d’une somme d’argent sensée revenir aux auteurs d’oeuvres protégées. L’entreprise menaçait les utilisateurs de divulguer leur données de connexion aux autorités s’ils ne payaient pas un certain montant pour dédommager les auteurs. Les adresses IP étant considérées comme des données personnelles, la loi sur la protection des données (LPD) s’appliquait et on a considéré que la pratique de Logistep violait clairement les principes de cette loi.

D’autres données personnelles pourraient être échangées à travers ce système de partage, telles que des documents d’entreprises avec des données confidentielles. On conçoit difficilement de quelle manière le contenu pourrait être contrôlé par Infinit ou Apple, à moins que soit mis en place un système de type Content ID (pour le droit d’auteur), sans risquer d’être trop intrusif dans la vie privée des utilisateurs et violer la protection des données. Un tel système de contrôle paraîtrait s’écarter du but même de l’application et des garanties qui sont fournies par Infinit. A plus forte raison, les données n’étant pas publiques, aucun tiers ne peut y avoir accès sans que l’utilisateur ne partage volontairement ses fichiers. La révocation de l’autorisation d’accès au fichier garantit ainsi la maîtrise des données par son propriétaire. Dans tous les cas le consentement libre et éclairé du propriétaire des données devrait être nécessaire.

Conclusion

L’avenir nous dira quel sera le succès de ce projet qui semble faciliter l’échange de fichier entre connaissances, de manière cryptée, tout en permettant d’éviter de passer par des prestataires techniques tiers hébergeant leurs données à l’étranger, souvent aux Etats-Unis.

Reste à savoir si ce modèle sera attractif et dans quelle mesure il sera utilisé, en fonction du public cible. Cette start-up devra défendre vigoureusement son modèle puisque des concurrents pointent déjà le bout de leur nez. On pensera par exemple, au projet en cours de développement par le Bittorrent Labs, qui pourrait faire l’objet d’un prochain article sur ce blog.

Il sera intéressant de pouvoir examiner la version finale de cette application qui donne des perspectives nouvelles, proches de l’utilisateur et axé sur la protection de ses données personnelles. Il faut plutôt se réjouir et saluer ce genre de démarche qui tend à bousculer les vieux modèles d’échange de fichiers sur Internet, dans une société désillusionnée et crispée par l’actualité récente (voir l’article précédent).

Pour en savoir plus :

Quelques explications techniques du logiciel d’échange Infinit à consulter ici.

Infos sur l’équipe de développement et l’histoire de ce projet ici.

Citizenfour - NTIC

Affaire Snowden : quelles leçons en tirer sur la protection de la sphère privée sur Internet ?

Après plusieurs jours de tempête médiatique autour de la sécurité informatique, de l’espionnage et de la protection de la sphère privée sur Internet, un résumé des épisodes précédents s’impose afin de bien cerner l’actualité (Section I et II) et les conséquences des événements de l’affaire Edward Snowden. Afin d’apporter une ébauche de solution, quelques conseils sur la protection de sa navigation sur Internet sont fournis (Actes 3 et 4).

Dans cet article, je parle du film fascinant CitizenFour, le reportage sur Edward Snowden et le moment de ses révélations.

___________________________________

ACTE  1 – AFFAIRE EDWARD SNOWDEN : LES FAITS

Le scandale éclate le dimanche 9 juin 2013.

Edward Snowden, ex-consultant pour l’agence américaine de sécurité nationale (NSA), accordait une interview au journal The Guardian depuis un hôtel à Hong-Kong, dans lequel il s’était réfugié depuis le 20 mai 2013. Dans cet entretien, il révèlait l’existence de deux programmes d’espionnage sur Internet et de surveillance des télécommunications élaborés par le gouvernement américain, sous l’administration Bush, puis poursuivie par celle d’Obama.

Le premier programme concerne la récolte, depuis 2006, des données d’appels téléphoniques aux Etats-Unis par l’opérateur Verizon, et vraisemblablement d’autres opérateurs. Le second, appelé PRISM, vise à intercepter les communications d’internautes étrangers, se situant hors des Etats-Unis, sur les neuf grands réseaux sociaux appartenant aux firmes suivantes : Google, Facebook, Microsoft, Apple, Yahoo, AOL, YouTube, Skype et PalTalk.

Edward Snowden, qui s’expose à faire l’objet d’une demande d’extradition vers les Etats-Unis, au même titre que Julian Assange, est considéré depuis quelques jours comme l’un des Whistleblowers les plus recherchés du moment. Depuis 2007, Edward Snowden opérait comme espion basé à Genève pour le compte de la NSA, jusqu’à ce qu’il craque et qu’il révèle au grand jour ce qu’il a pu constater dans le cadre de son rôle.

Un résumé chronologique des événements de cette affaire peut être consulté ici ainsi que des références sur le site de la Radio Télévision Suisse romande.

___________________________________

ACTE 2 – GLENN GREENWALD : SUCCESSEUR DE JULIAN ASSANGE ?

Ces révélations n’auraient pas pu être possibles sans l’intervention de Glenn Greenwald, qui travaille actuellement pour le quotidien britannique indépendant The Guardian. Cet avocat journaliste américain a fait beaucoup parler de lui par ses révélations chocs en dénonçant les pratiques des États-Unis en matière de surveillance d’Internet et du contenu des télécommunications. Depuis les remous de l’affaire Wikileaks, Glenn Greenwald est devenu le nouveau Julian Assange de la presse à scandale sur Internet. Il n’a d’ailleurs pas hésité à publier des articles basés sur des documents confidentiels, fournis par Edward Snowden, et à rendre public des documents permettant de comprendre les possibilités techniques du programme Boundless Informant, logiciel d’analyse de données récoltées grâce au logiciel PRISM par la NSA.

Un résumé du parcours professionnel de Glenn Greenwald et de ses révélations peut être lu ici.

___________________________________

ACTE 3 – SURVEILLANCE  ET PROTECTION DE SES INFORMATIONS SUR INTERNET

Les pratiques d’espionnage des communications par l’Etat américain (PRISM) et leur analyse, posent une fois de plus la question de la sécurité des données personnelles sur Internet, dans le contexte des lois nationales sur la surveillance.

Mais ce que nous apprend Edward Snowden n’est pas nouveau. Cela met toutefois en lumière que les pratiques de certains Etats pour surveiller leurs citoyens, ainsi que des citoyens d’autres nations dépassent parfois le cadre des investigations policières et de la coopération internationale qui reste très limitée. Depuis les événements Snowden, les Etats ont vu leurs pratiques considérablement freinées par des techniques de cryptage par les géants d’Internet.

Vie privée sur Internet. Lorsque l’on parle de vie privée sur Internet, il peut s’agir de données personnelles (adresse IP, fichiers personnels au sens de la loi sur la protection des données “LPD” et du RGPD), du contenu de nos emails (scanné par Google, Microsoft, etc.), de nos fichiers privés ou professionnels stockés dans le nuage (Dropbox, Sugarsync, Skydrive, etc.), ou de nos données de navigation sur Internet notamment par des cookies (date et heure de connexion, langue, fuseau horaire, adresse IP, plug-in utilisés, etc.).

Aux Etats-Unis, le Foreign Intelligence Surveillance Act (FISA) a été promulgué. Il s’agit d’une loi du Congrès des États-Unis datant de 1978 et qui décrit les procédures des surveillances physiques et électronique, ainsi que la collecte d’information sur des puissances étrangères soit directement, soit par l’échange d’informations avec d’autres puissances étrangères. Cette loi a été modifiée à plusieurs reprises, notamment suite aux événements du 11 septembre 2001 avec le Patriot Act du 24 octobre 2001 qui permet au gouvernement américain d’utiliser tous les moyens nécessaires à la recherche de personnes susceptibles de commettre un attentat terroriste. Cette loi donne la possibilité au gouvernement américain d’obtenir toute information située sur sol américain qui serait susceptible de représenter une menace pour la sécurité nationale américaine. Cela comprend bien évidement les serveurs qui hébergent des données aux Etats-Unis ou dont les données sont sous-traitées aux Etats-Unis concernant n’importe quel utilisateur dans le monde.

L’article 702 du FISA Act permet au Procureur général des États-Unis et au Directeur du renseignement national d’autoriser conjointement le ciblage des personnes censées être raisonnablement situées à l’extérieur des États-Unis, mais elle est limitée au ciblage des personnes non américaines. Une fois autorisées, ces acquisitions de données (SIGINT) peuvent durer pendant des périodes allant jusqu’à un an. Cet article 702 autorise l’usage des programmes de surveillance utilisés par la National Security Agency (NSA) et le FBI, comme PRISM tel que révélé par Snowden en 2013.

Protection de la sécurité nationale. Si le but des sociétés privées est de récolter nos données à des fins de marketing et de publicité ciblée, le but des Etats est de protéger leur sécurité nationale. L’individu lambda qui n’a que des notions basiques d’informatique peut-il se protéger contre la collecte à son insu de ses données ?

Pour tenter de répondre à cette question, le site Internet de la RTS a Recueilli, notamment de spécialistes des nouvelles technologies, dix conseils pour mieux se protéger contre les atteintes à la vie privée. Voici un résumé de ces conseils avec certains ajouts personnels (intitulés “ndlr”).

___________________________________

ACTE 4 – DIX CONSEILS POUR SE PROTÉGER SUR INTERNET ?

1. Limiter sa présence sur les réseaux sociaux

Un commentaire quelconque au sujet du cannabis ou une mauvaise blague sur le gouvernement américain sur Facebook pourrait rendre plus difficile une demande d’obtention de VISA pour les Etats-Unis.

2. Consommer local

Éviter à tout prix les adresses électroniques sur des serveurs américains, ou sur des serveurs situés aux Etats-Unis à l’instar d’un Hotmail ou d’un Gmail. En optant pour une alternative européenne ou suisse, l’internaute pourra plus facilement et plus rapidement se retourner en cas de violation des données en raison d’une législation plus stricte.

  • ndlr : Il faut également s’assurer que le prestataire suisse qui stocke et traite les données ne sous-traite pas à son tour les données aux USA.
  • ndlr : Le logiciel gratuit Wuala propose des services de cloud computing sécurisés avec stockage des données en Suisse, France, Allemagne. A l’instar de ses concurrents, il offre également des solutions professionnelles payantes.

3. Privilégier l’Open Source

Plutôt que passer par des entreprises tierces (DropBox, SugarSync, Google Drive, Skydrive, etc.), on peut aussi opter pour des alternatives libres telles que OwnCloud ou SeaFile.

  • ndlr : une recherche rapide permet souvent de trouver des logiciels aussi performants que les plus connus, mais bien plus sûrs et souvent gratuits.

4. Protéger sa connexion et ses courriels

Il est possible de surfer en toute discrétion grâce à des logiciels comme Tor qui empêchent de remonter jusqu’à l’adresse IP et donc jusqu’à l’auteur. Autre option: installer des extensions et plugins permettant de le chiffrement des courriels en utilisant GPG/PGP, comme par exemple Enigmail pour Mozilla Thunderbird.

  • ndlr : l’excellent plugin Ghostery permet d’éliminer une bonne parties des logiciels qui traque les informations des utilisateurs lors de leur navigation sur Internet.
  • ndlr : il est également possible de passer par un serveur proxy gratuit, voire un logiciel comme Privoxy, pour surfer sans être limité à une zone géographique.
  • ndlr : le site Internet panopticlick, élaboré par la Electronic Frontier Foundation, permet de calculer le nombre de traces que l’on laisse sur notre passage en surfant sur Internet avec la configuration actuelle de notre navigateur (Mozilla, Internet Explorer, Safari, Chrome, etc.).
  • ndlr : il faut éviter d’enregistrer son mot de passe et ses données de connexion, même sur son ordinateur personnel.
  • ndlr : n’utiliser qu’un seul ordinateur pour effectuer ses paiements sur Internet par eBanking ou cartes de crédit et vérifier que l’adresse que l’on visite est sécurisée (https).
  • ndlr : il faut encore adopter le même comportement sur tous les ordinateurs et smartphones que l’on utilise. Des logiciels pour Firefox permettent de synchroniser ses plugins avec les autres ordinateurs que l’on utilise (p.e. : Siphon).

5. Utiliser un pseudonyme

La création de plusieurs adresses électroniques sous un pseudo, dont certaines qui servent de “poubelles”, permet de limiter la publicité et la diffusion de ses informations personnelles.

6. Se méfier des homonymes

Taper son nom régulièrement dans des moteurs de recherche ou installer une alerte Google permet de surveiller son identité numérique et de réagir vite en cas de contenu indésirable.

7. Toiletter son identité numérique

Afin d’éviter qu’un homonyme ou quelqu’un de mal intentionné n’utilise votre identité, certains recommandent de créer soi-même des comptes à son nom sur les réseaux sociaux, même ceux qu’on n’utilise pas.

On peut en outre contrôler les premières informations qui apparaîtront sur un moteur de recherche en créant son propre site bien référencé ou même en faisant une utilisation “intelligente” de réseaux sociaux comme LinkedIn.

8. Contourner les moteurs de recherche

Beaucoup d’informations transitent par les moteurs de recherche, qui sont de vrais cafteurs. Mais il est possible d’éviter Google, Bing et Yahoo en utilisant https://duckduckgo.com.

Ce méta-moteur utilise en fond d’autres moteurs mais s’arrange pour ne laisser passer aucun cookie ou autres.

  • ndlr : en complément du logiciel Ghostery, l’installation du module complémentaire pour désactiver Google Analytics limite le risque que l’on soit ensuite ciblé par de la publicité.

9. S’informer

Avant de s’inscrire sur un réseau social ou d’ouvrir une nouvelle adresse électronique, rien ne vaut la lecture des “conditions d’utilisation”.

D’autres informations sont disponibles sur la politique de certaines entreprises en matière de vie privée, comme par exemple ce rapport publié par l’Electronic Frontier Foundation fin avril.

10. Surveiller son smartphone

L’utilisateur n’a pas vraiment la main sur son smartphone, mais il peut limiter la casse.

L’application Clueful de l’éditeur Bit Defender permet d’examiner les applications présentes sur un mobile et alerte sur celles présentant un risque éventuel.

  • ndlr : sur les smartphones récents, il est possible de surfer en navigation privée (Mozilla sous Android, dans les options de navigation pour iOS). Cette manipulation permet de limiter la transmission spontanées de toutes nos données de navigation.

V. Conclusion

Même si l’on sait que les géants d’Internet ont des intérêts financiers, il y a en arrière plan d’autres intérêts bien plus grands, ceux des Etats, ce qui contraint à se poser des questions fondamentales de respect de la vie privée des utilisateurs d’Internet face à la sécurité nationale. De même, de telles questions touchent également au domaine de la souveraineté nationale qui pourrait, le cas échéant être considérée comme violée. Sur cette question, le chef du Département des affaires étrangères en Suisse, Didier Burkhalter, a renoncé à se prononcer sur la question pour le moment.

Bien des moyens existent pour limiter la diffusion de nos informations sur Internet. Toutefois, pour une navigation avertie sur Internet, cela suppose de s’efforcer de chercher les informations nécessaires à se protéger, lire les conditions générales d’utilisations, installer des modules complémentaires ou l’utilisation de logiciels tiers etc. Démarches lourdes qui nécessite un brin de connaissances informatiques si l’on ne veut pas être immédiatement découragé.

Rien que l’installation du logiciel Ghostery contribue déjà à supprimer une parties des informations que l’on transmets lors de notre navigation Internet, toutefois, plus on restreint les informations que l’on donne plus la navigation sur Internet devient difficile. Par exemple, si l’on bloque l’activation des cookies, flash et Java-script l’accès à Internet devient presque impossible.

Une navigation 100% anonyme sur Internet est souvent presque incompatible avec une navigation 100% libre sur Internet.

____

Par Gabriel Avigdor | NTIC.ch