18 septembre 2018 - Bien que la directive droit d'auteur soit le symptôme d'une soumission économique de nos industries aux géants du Web, elle crée néanmoins l'opportunité de remettre en cause ces géants, au profit de l'Internet décentralisé.

C'est ce que nous rappelle Calimaq, membre de La Quadrature du Net, dans cette tribune - initialement publiée sur son blog.

Qu’est-ce qu’une victoire et qu’est-ce qu’une défaite ? En un peu plus de 10 ans de militantisme pour les libertés dans l’environnement numérique, j’ai souvent eu l’occasion de me poser cette question. Et elle surgit à nouveau de la plus cruelle des manières, suite au vote du Parlement européen en faveur de la directive sur le Copyright, alors même que le précédent scrutin en juillet avait fait naître l’espoir d’une issue différente.

L’expérience m’a cependant appris que rien n’est plus trompeur que les votes parlementaires pour apprécier si l’on a « gagné » ou « perdu ». En 2012, lorsque le Parlement européen avait rejeté l’accord anti-contrefaçon ACTA, nous pensions avoir remporté une victoire historique qui changerait le cours des choses. Et nous avons ensuite sincèrement œuvré en ce sens, pensant que ce serait le premier acte d’une réforme positive du droit d’auteur. Mais le recul nous montre qu’il s’agissait en réalité d’une simple séquence au sein d’un ensemble plus vaste, qui a progressivement conduit au revers de cette semaine.

Les votes dans les assemblées nous abusent telles des illusions d’optique, parce qu’ils ressemblent à ce que les spécialistes de stratégie appellent des « batailles décisives ». Pendant des siècles, les généraux ont cherché à obtenir cet ultime Graal de l’art militaire : un unique affrontement ayant la faculté de mettre fin à la guerre en désignant sans ambiguïté un gagnant et un perdant. Mais les historiens ont montré que la bataille décisive constituait aussi un mythe dangereux, dont la poursuite pouvait devenir la cause même de la défaite. En 1941, au début de l’opération Barbarossa, l’armée nazie remporte ainsi sur les soviétiques une série de victoires comptant parmi les plus spectaculaires de toute l’histoire. Mais ces succès ne l’empêchèrent pas ensuite de connaître un échec cuisant devant Moscou, qui marquera le point de départ d’un lent déclin les conduisant à une déroute totale en 1945. Or une des grandes différences entre l’Armée allemande et l’Armée rouge durant la Seconde Guerre mondiale, c’est que la seconde avait compris qu’il lui fallait arrêter de chercher à remporter une bataille décisive pour espérer gagner la guerre, tandis que les nazis se sont accrochés jusqu’au bout à ce mythe qui a fini par les perdre.

Or il y a un parallèle à faire entre cette histoire et celle de la lutte pour les libertés numériques. Trop souvent, nous avons concentré nos énergies sur des combats législatifs, hypnotisés par l’idée que le décompte des voix conduirait à une sorte « d’ordalie démocratique ». Cela nous a donné plusieurs fois l’illusion d’avoir remporté quelque chose, comme au moment du rejet de l’ACTA, alors que les racines du problème restaient intactes. Mais heureusement en sens inverse, si la victoire n’est jamais acquise en cas de succès législatif, il en est de même pour la défaite. Et rien ne serait plus faux que de penser que le vote de cette semaine sur la directive Copyright constitue la fin de l’histoire, sous prétexte que nous aurions encaissé là une défaite décisive !

Nous avons pas « perdu Internet » !

Certes les articles 11 et 13 du texte, qui instaurent une obligation de filtrage automatisé des plateformes et une taxe sur les liens hypertextes au profit des éditeurs de presse, représentent des monstruosités contre lesquelles il était nécessaire de lutter. Mais il convient à présent d’apprécier exactement la portée de ces mesures, pour réadapter très rapidement notre stratégie en conséquence à partir d’une appréhension claire de la situation. Or cette « vision stratégique d’ensemble » est à mon sens précisément ce qui a manqué tout au long de cette campagne dans le camp des défenseurs des libertés numériques et il est inquiétant de constater que ces erreurs de jugement n’ont pas disparu maintenant que l’heure est venue d’analyser les conséquences du scrutin.

On a pu voir par exemple cette semaine l’eurodéputée du Parti Pirate Julia Reda expliquer sur son blog que ce vote constituait un « coup dur porté à l’internet libre et ouvert » (Today’s decision is a severe blow to the free and open internet). De son côté, Cory Doctorow a écrit un article sur le site de l’EFF, où il affirme que « l’Europe a perdu Internet » (Today, Europe lost the Internet). Sur Next INpact, Marc Rees déplore dans la même veine « une mise au pilori du Web tel que nous le connaissons, un affront à la liberté d’expression. » Ces appréciations font écho au mot d’ordre qui fut celui des défenseurs des libertés en campagne contre les articles 11 et 13 de la Directive : Save Your Internet (Sauvez votre Internet).

Or lorsqu’on lit attentivement ces articles, tels qu’amendés par le vote des eurodéputés, on se rend compte qu’ils ne visent pas pas « l’Internet » ou « le Web » tout entier, mais seulement une catégorie d’acteurs déterminés, à savoir les plateformes centralisées à but lucratif. Ce n’est donc pas « l’Internet libre et ouvert » qui va être frappé par cette directive, mais plutôt exactement ce qui représente son antithèse ! A savoir cette couche d’intermédiaires profondément toxiques qui ont dénaturé au fil du temps les principes sur lesquels Internet et le Web s’appuyaient à l’origine pour nous faire basculer dans la « plateformisation ». Pour se convaincre que ces acteurs n’ont absolument plus rien à voir avec un Internet « libre et ouvert », il est bon de relire ce que Tim Berners-Lee, l’inventeur du web, en disait au mois d’août dernier :

Nous avons démontré que le Web avait échoué au lieu de servir l’humanité, comme il était censé le faire, et qu’il avait échoué en de nombreux endroits. La centralisation croissante du Web, dit-il, a fini par produire – sans volonté délibérée de ceux qui l’ont conçu – un phénomène émergent à grande échelle qui est anti-humain.

Or le grand mensonge sur lesquels s’appuient les GAFAM – principaux responsables de cette centralisation -, c’est de chercher à faire croire qu’ils représentent à eux-seuls l’Internet tout entier, comme si rien ne pouvait plus exister en dehors de leur emprise. En ce sens quand j’entends Cory Doctorow dire que nous « avons perdu Internet » à cause de mesures ciblant les acteurs centralisés lucratifs, je ne peux que frémir. Avec tout le respect que je peux avoir pour ce grand monsieur, ses propos paraissent avoir incorporé la prétention des GAFAM à recouvrir le web et c’est particulièrement grave. Car c’est précisément cela qui constituerait la défaite finale des défenseurs des libertés : se résigner à cet état de fait et ne pas agir sur les marges dont nous disposons encore pour briser cette hégémonie.

Voilà pourquoi il faut aujourd’hui l’affirmer avec force : non, la directive Copyright n’est donc pas une défaite pour l’Internet Libre et Ouvert ! C’est notre vision même du sens de la lutte qu’il faut aujourd’hui urgemment reconfigurer, pour sortir de l’ornière au fond de laquelle nous sommes en train de nous enfermer et qui ne peut nous conduire qu’à de nouvelles défaites plus cuisantes encore que celle-ci.

Sortir d’une conception « formelle » de la liberté d’expression

Sur Next INpact, Marc Rees identifie avec raison le changement le plus profond que ce texte va amener : il remet en question la distinction classique entre hébergeurs et éditeurs, issue de la directive eCommerce de 2000. Jusqu’à présent, les hébergeurs bénéficiaient d’une responsabilité atténuée vis-à-vis des actes commis par leurs utilisateurs. Au lieu de cela, la directive Copyright introduit une nouvelle catégorie d’intermédiaires dits « actifs » qui devront assumer la responsabilité des contenus qu’ils diffusent, même s’ils ne sont pas directement à l’origine de leur mise en ligne. Mais il est important de regarder quels critères la directive utilise pour identifier ce nouveau type d’acteurs :

La définition du prestataire de services de partage de contenus en ligne doit, au sens de la présente directive, englober les prestataires de services de la société de l’information dont l’un des objectifs principaux consiste à stocker, à mettre à la disposition du public ou à diffuser un nombre appréciable de contenus protégés par le droit d’auteur chargés ou rendus publics par leurs utilisateurs, et qui optimisent les contenus et font la promotion dans un but lucratif des œuvres et autres objets chargés, notamment en les affichant, en les affectant de balises, en assurant leur conservation et en les séquençant, indépendamment des moyens utilisés à cette fin, et jouent donc un rôle actif.

On voit que le « rôle actif » se déduit de trois éléments : la taille de l’acteur, son but lucratif et la hiérarchisation automatisée de contenus. Ce sont donc bien des plateformes centralisées lucratives, type Facebook ou YouTube, qui devront assumer cette nouvelle responsabilité. Pour y échapper, elles devront conclure des accords de licence pour rémunérer les ayant droits et, à défaut, déployer un filtrage automatisé des contenus a priori. En pratique, elles seront certainement toujours obligées de mettre en place un filtrage, car il est quasiment impossible d’obtenir une licence capable de couvrir l’intégralité des œuvres pouvant être postées.

Nous avons combattu en lui-même le filtrage automatique, car c’était une mesure profondément injuste et disproportionnée. Mais une question mérite d’être posée : au nom de quoi les défenseurs d’un « Internet Libre et Ouvert » devraient-ils s’émouvoir de ce que les plateformes centralisées et lucratives perdent le bénéfice de la quasi-immunité dont elles bénéficiaient jusqu’à présent ? La directive a par ailleurs pris le soin de préciser que les « prestataires sans finalité commerciale, comme les encyclopédies en ligne de type Wikipedia » ainsi que les « plateformes de développement de logiciels Open Source » seraient exclus du champ d’application de l’article 13, ce qui donne des garanties contre d’éventuels dommages collatéraux.

Marc Rees nous explique que cette évolution est dangereuse, parce que l’équilibre fixé par la directive eCommerce constituerait le « socle fondamental du respect de la liberté d’expression » sur Internet. Mais cette vision me paraît relever d’une conception purement « formelle » de la liberté d’expression. Peut-on encore dire que ce qui se passe sur Facebook ou YouTube relève de l’exercice de la liberté d’expression, alors que ces acteurs soumettent leurs utilisateurs à l’emprise d’une gouvernance algorithmique de plus en plus insupportable, que cible précisément la notion de « rôle actif » ?

Il est peut-être temps de tirer réellement les conséquences de la célèbre maxime « Code Is Law » de Lawrence Lessig : le droit n’est qu’une sorte de voile dans l’environnement numérique, car c’est le soubassement technique sur lequel s’appuie les usages qui conditionne réellement l’exercice des libertés. Quoi que dise la directive eCommerce, il n’y a quasiment plus rien qui relève de l’exercice de la liberté d’expression sur les plateformes centralisées lucratives, sinon une grotesque parodie qui salit le nom même de la liberté et nous en fait peu à peu perdre jusqu’au sens !

En le lisant « en creux », l’article 13 dessine au contraire l’espace sur Internet où la liberté d’expression peut encore réellement s’exercer : le réseau des sites personnels, celui des hébergeurs ne jouant pas un rôle actif et – plus important encore – les nouveaux services s’appuyant sur une fédération de serveurs, comme Mastodon ou Peertube.

Se doter (enfin) d’une doctrine économique claire

Allons même plus loin : en introduisant le critère de la lucrativité, l’article 13 donne aux défenseurs des libertés sur Internet l’occasion de revoir leur doctrine économique, qui m’a toujours paru constituer un sérieux talon d’Achille dans leurs positions…

Les eurodéputés ont introduit une autre exception afin que l’article 13 ne s’applique pas aux « micro, petites et moyennes entreprises« . Personnellement, je ne me réjouis pas du tout de cette insertion, car sur Internet, « micro-entreprises » veut souvent dire « start-up » et l’on sait que ces jeunes pousses aux dents longues aiment à se construire sur des modèles extrêmement toxiques de captation des utilisateurs et de prédation des données personnelles. Le critère de la taille n’est pas en lui-même pertinent, car tous les Léviathans du numérique ont commencé par être petits avant de grossir. Ce qu’il importe, c’est justement qu’aucun acteur ne soit plus en mesure d’enfler jusqu’à atteindre une taille hégémonique, et pour cela, c’est bien sur le critère de la lucrativité qu’il faut jouer.

Dans son article sur le site de l’EFF, Cory Doctorow estime que l’Union européenne s’est tirée une balle dans le pied avec cette directive Copyright, car elle aurait imposé des contraintes insurmontables à ses propres entreprises, qui ne pourraient plus espérer désormais rattraper les géants américains ou chinois. Mais ces propos me paraissent reposer sur une vision complètement « enchantée » de la concurrence, comme s’il était encore possible de croire qu’un « marché sain » est en mesure de nous sauver des monstruosités qu’il a lui-même engendrées.

Ce qui va se passer à présent avec l’obligation de filtrage automatisée, c’est que les grandes plateformes centralisées lucratives, type YouTube ou Facebook, vont sans doute devenir des espaces où les utilisateurs éprouveront le poids d’une répression « à la chinoise » avec la nécessité de se soumettre à un contrôle algorithmique avant même de pouvoir poster leurs contenus. Le contraste n’en sera que plus fort avec les espaces restant en dehors du périmètre de l’article 13, que les créateurs et leur public seront d’autant plus incités à rejoindre. Doit-on réellement le déplorer ?

Il faut bien voir en outre que le fait de ne pas poursuivre un but lucratif ne signifie pas que l’on ne puisse plus inscrire son activité dans la sphère économique. C’est exactement ce que fait depuis plus d’un siècle l'économie sociale et solidaire, en renonçant volontairement pour des raisons éthiques à poursuivre un but lucratif ou en limitant statutairement sa lucrativité. Voilà donc l’occasion d’en finir par le mythe selon lequel « l’Internet libre et ouvert » serait compatible avec les principes mêmes du capitalisme. C’est précisément cette illusion qui a enclenché le processus fatal de centralisation et cette dérive ne pourra être combattue qu’en revenant à la racine économique du problème.

On retrouve ici le problème de « l’agnosticisme économique » dont j’ai déjà parlé sur ce blog à propos du fonctionnement même des licences libres. En refusant de discriminer selon les types d’usages économiques, les défenseurs du Libre se sont en réalité privés de la possibilité de développer une réelle doctrine économique. C’est ce même aveuglement aux questions économiques qui conduit à des aberrations de positionnement comme celles que l’on a vu au cours de cette campagne contre la directive Copyright. Comment mobiliser autour du mot d’ordre « Save Your Internet », alors que cet « Internet » que l’on a voulu faire passer pour « le notre » comprend en réalité les principaux représentants du capitalisme de surveillance ? C’est le sens même de nos luttes qui disparaît si nous ne nous donnons pas les moyens d’opérer des distinctions claires parmi les acteurs économiques.

Et maintenant, que faire ?

En juin dernier, c’est-à-dire avant même le premier vote sur la directive, La Quadrature du Net a commencé à développer ce type d’analyses, en suggérant de ne pas s’opposer à l’introduction du critère du « rôle actif » des plateformes pour au contraire le retourner comme une arme dans la lutte contre la centralisation :

Tous ces enjeux connaissent un ennemi commun : la centralisation du Web, qui a enfermé la très grande majorité des internautes dans des règles uniques et rigides, qui n’ont que faire de la qualité, de la sérénité ou de la pertinence de nos échanges, n’existant que pour la plus simple recherche du profit de quelques entreprises.

L’une des principales causes de cette centralisation est le frein que le droit a longtemps posé contre l’apparition de son remède – le développement d’hébergeurs non-centralisés qui, ne se finançant pas par la surveillance et la régulation de masse, ne peuvent pas prendre le risque de lourds procès pour avoir échoué à retirer « promptement » chaque contenu « illicite » qui leur serait signalé. Des hébergeurs qui, souvent, peuvent à peine prendre le risque d’exister.

La condition du développement de tels services est que, enfin, le droit ne leur impose plus des règles qui depuis vingt ans ne sont presque plus pensées que pour quelques géants. Prévoir une nouvelle catégorie intermédiaire dédiée à ces derniers offre l’espoir de libérer l’Internet non-centralisé du cadre absurde dans lequel juges et législateurs l’ont peu à peu enfermé.

Dans sa réaction au vote de mercredi, Julia Reda rappelle qu’il ne s’agit pas de la fin du processus et qu’il reste encore une phase de trilogue avec la Commission et le Conseil, ainsi qu’un dernier vote au Parlement, sans doute au Printemps. Elle estime qu’il resterait encore une carte à jouer, en appelant les citoyens à se mobiliser pour faire pression sur leurs gouvernements en espérant que cela puisse encore conduire au retrait de l’article 13. Mais outre que cette hypothèse paraît hautement improbable étant donné les équilibres politiques, elle me paraît relever d’une certaine forme de désarroi, comme s’il y avait encore lieu de chercher à remporter une « bataille décisive » alors que les paramètres stratégiques du combat ont profondément évolué.

L’enjeu n’est pas de chercher – sans doute vainement – à supprimer l’article 13, mais de réussir à délimiter clairement son périmètre pour s’assurer qu’il ne s’appliquera qu’à des acteurs centralisés lucratifs procédant à une hiérarchisation des contenus. Manœuvrer ainsi ferait peser sur les GAFAM une charge écrasante, tout en préservant un espace pour développer un réseau d’acteurs éthiques non-centralisés et inscrits dans une logique d’économie solidaire. Il n’y a qu’au sein d’une telle sphère que l’on puisse encore espérer œuvrer pour un « Internet Libre et Ouvert ».

Il faut aussi sortir de l’urgence immédiate imposée par cette série de votes pour se replacer dans le temps long. De toutes façons, quelle que soit l’issue des dernières négociations, il restera encore plusieurs années (3, 4, peut-être plus ?) avant que la directive ne soit transposée dans les pays de l’Union. C’est un délai appréciable qui nous laisse encore le temps de travailler au développement de cette sphère d’acteurs alternatifs.

Du coup, si vous voulez concrètement faire quelque chose pour « l’Internet Libre et Ouvert », je ne vous conseillerai pas d’appeler votre député, mais plutôt d’aller faire un don à l’association Framasoft, car ce sont eux qui ont sans doute le mieux compris et anticipé les changements nécessaires à opérer dans notre stratégie. Avec PeerTube, l’alternative fédérée à YouTube qu’ils sont en train de bâtir, ils plantent une graine en laquelle nous pouvons encore placer nos espoirs. Et avec le collectif d’hébergeurs alternatifs CHATONS qu’ils ont fait émerger, ils ont déjà préfiguré ce que pourrait être cette alliance du Libre et de l’Economie Sociale et Solidaire dont nous avons besoin pour rebooter le système sur des bases économiques saines.

« Une bataille perdue est une bataille que l’on croit perdue » – Napoléon.

12 septembre 2018 - Ce matin, alors que toute l'attention était tournée vers l'adoption de la directive droit d'auteur, la Commission européenne a publié sa proposition de règlement contre la propagande terroriste en ligne.

Ce texte sécuritaire prévoit d'imposer plusieurs obligations aux hébergeurs, et notamment le retrait en moins d'une heure des contenus signalés. Il banalise la censure policière ou privée et donc le contournement de la justice. Il fait des filtres automatiques - justement au coeur du débat sur la directive droit d'auteur - la clé des politiques de censure à l'ère numérique1.

En pratique, seule une poignée d'hébergeurs pourront satisfaire de telles obligations - en particulier le délai d'une heure pour censurer les contenus. Les autres hébergeurs - la très grande majorité qui, depuis les origines, ont constitué le corps d'Internet - seront incapables d'y répondre et s'exposeront systématiquement à des sanctions.

Si ce texte était adopté, les quasi-monopoles du Net (Google, Amazon, Facebook, Apple, Microsoft, Twitter...) se verront consacrés dans leur rôle clé pour les politiques sécuritaires des États membres, et renforcés dans leurs positions ultra-dominantes - tous les autres services ayant du fermer boutique, y compris les services décentralisés qui respectent nos droits. Après avoir vaguement prétendu nous défendre avec le RGPD, la Commission européenne change radicalement de direction et compte désormais défaire l'État de droit en renforçant et en pactisant avec des firmes surpuissantes, qui exploitent nos libertés.

Pourtant, le reste de l'Internet, l'Internet décentralisé et gouvernable de façon démocratique, repose sur un contrôle fin et adapté à chaque personne des contenus qui y sont diffusés. Cette organisation est une des solutions les plus pertinentes pour freiner la propagation de messages problématiques, mais la Commission compte justement la détruire en lui imposant des obligations impossibles à respecter.

En pratique, la proposition de la Commission est donc non seulement inutile - les géants sont déjà largement actifs pour surveiller et censurer et collaborent très largement avec les autorités en matière antiterroriste.2 Elle est surtout contre-productive : son principal effet serait de détruire l'unique version d'Internet compatible avec nos libertés fondamentales.

• 1. Ce réglement prévoit une obligation pour tout hébergeur Internet, quelque soit sa taille ou son fonctionnement, de retirer dans un délai d'une heure les contenus jugés de nature terroriste, en cas d'injonction faite par les autorités judiciaires ou administratives (article 4). Il permet également à ces dernières d'imposer une telle censure non sur la base du droit national applicable (par exemple, en France, le décret Cazeneuve de février 2015), mais sur la base des conditions d'utilisation des plateformes (article 5). Le texte invite aussi les acteurs du Net à adopter des mesures « proactives », sous la forme de filtres automatiques scannant les contenus mis en ligne pour bloquer ceux correspondants à certains critères arrêtés par ces firmes (article 6).
• 2. Depuis 2015, les États comme la France et des organisations telles qu'Europol ont développé de multiples partenariats avec les géants du numérique pour lutter contre la propagande terroriste, le plus souvent au mépris du droit international.

12 septembre 2018 - Le Parlement européen vient d'adopter la directive droit d'auteur, qu'il avait pourtant rejetée une première fois cet été. En ayant fait adopter cette directive, les industries culturelles et de la presse réclament les miettes de l'économie de la surveillance de masse. Plutôt que de combattre cette capitulation devant les GAFAM, le gouvernement français l'a vigoureusement encouragée.

En 20 ans, l'industrie culturelle française n'a jamais su s'adapter à Internet. Aujourd'hui, elle est folle de rage devant le succès de Netflix ou d'Amazon. Donc elle exige les miettes du gâteau. Elle veut contraindre les géants du Web, tels que Youtube ou Facebook, à partager avec elle les revenus de la publicité ciblée associée aux œuvres dont ils sont les ayants-droits.

Mais la publicité ciblée consiste surtout à surveiller tout le monde, partout, tout le temps, sans notre consentement libre. Depuis le 25 mai et le RGPD, c'est illégal, et c'est bien pourquoi nous avons attaqué chacun des GAFAM au printemps dernier devant la CNIL, dans des plaintes collectives réunissant 12 000 personnes.

Pourtant, ayant échoué à évoluer, l'industrie culturelle française est aujourd'hui prête à s'associer à ce modèle illégal. Avec le vote d'aujourd'hui, le financement de la culture se soumet à l'économie de la surveillance de masse. Et il est injustifiable que le gouvernement français, en soutenant lui aussi cette directive, ait consacré la toute puissance illicite des géants du Web, plutôt que de combattre leur modèle de surveillance pour nous en protéger.

Hélas, le débat ne s'arrête pas là. À côté, on retrouve les éditeurs de presse qui, eux non plus, pour la plupart, n'ont jamais su s'adapter. Du coup, ils exigent aujourd'hui que Facebook et Google les financent en les payant pour chaque extrait d'article cité sur leur service. Mais quand les revenus du Monde ou du Figaro dépendront des revenus de Google ou de Facebook, combien de temps encore pourrons-nous lire dans ces journaux des critiques de ces géants ? Plutôt que de s'adapter, les éditeurs de presse préfèrent renoncer entièrement à leur indépendance, sachant par ailleurs que bon nombre d'entre eux mettent en œuvre des pratiques tout aussi intrusives que celles des GAFAM en matière de publicité ciblée (relire notre analyse de leurs pratiques et de leurs positions sur le règlement ePrivacy).

Ici encore, le gouvernement français a encouragé cette capitulation générale face aux géants du Web, qui passent encore davantage pour les maîtres de l'Internet. Pourtant, ils ne sont les maîtres de rien du tout. Internet n'a pas besoin de Google ou de Facebook pour nous permettre de communiquer. Au contraire, ces géants nuisent à nos échanges, pour mieux vendre leur publicité.

Le vote d'aujourd'hui est le symptôme de l'urgence qu'il y a à changer de cadre. Le gouvernement français doit accepter qu'Internet ne se résume pas à une poignée de monopoles. Il doit renoncer aux multinationales du numérique et, enfin, commence à promouvoir le développement d'un Internet décentralisé - seul capable de respecter nos droits et libertés. Maintenant.

10 septembre 2018 - Un quart de siècle qu’on se repasse ce même mauvais film, celui où les industries culturelles instrumentalisent la loi pour faire la guerre à leur public. En cause cette fois-ci, l’article 13 de la directive sur le droit d’auteur en cours d’examen à Bruxelles, et sur lequel le Parlement européen se prononcera le 12 septembre.
Dans sa rédaction actuelle, cette disposition impose que, dans le cadre d’accords avec les sociétés d’ayants droit (telle la Sacem), les ­plates-formes numériques (YouTube, Facebook et consorts) recourent à des outils de ­filtrage automatisés. Le but ? Repérer les ­contenus ­publiés par les internautes et bloquer ceux ­incluant des œuvres couvertes par le droit d’auteur. Une forme de censure préalable, automatisée et privatisée.

Rien de bien nouveau, donc. En effet, depuis le milieu des années 1990, les industries culturelles (musique, cinéma, édition…) n’ont eu de cesse d’exiger des législateurs et des tribunaux la « collaboration » forcée des fournisseurs ­d’accès à Internet et des hébergeurs pour lutter ­contre l’échange gratuit d’œuvres culturelles sur les réseaux.

Nous republions la tribune de Félix Tréguer parue dans Le Monde le 8 septembre 2018

L’ACTA rejeté en 2012

A l’époque déjà, ces débats avaient conduit à la mobilisation des associations de défense des droits dans l’environnement numérique. Comme aujourd’hui, ces dernières faisaient valoir que la logique poursuivie était dangereuse, puisqu’elle revenait à confier à des entreprises privées un rôle de surveillance et de censure des communications sur le Net.

Ces débats débouchèrent en Europe sur un compromis instable à travers une directive adoptée en juin 2000, qui semblait donner gain de cause aux militants et aux acteurs de l’économie numérique. Les « intermédiaires techniques » d’Internet, et en particulier les hébergeurs, ne seraient plus inquiétés tant qu’ils ne joueraient pas de rôle actif dans la diffusion des contenus litigieux. Il leur fallait répondre aux demandes judiciaires visant à retirer les publications illicites, mais les Etats ne pourraient pas leur imposer d’« obligation générale de surveillance » des communications pour détecter et empêcher de telles publications.
Depuis, les initiatives visant à imposer des filtres automatiques se sont pourtant multipliées. Et parfois, en France notamment, leurs promoteurs ont eu gain de cause devant les tribunaux. Toutefois, dans deux arrêts importants rendus en 2011 et 2012 au nom de la protection de la liberté de communication et de la vie privée, la Cour de justice de l’Union européenne s’est opposée aux demandes d’une ­société de gestion visant à imposer à un fournisseur d’accès ou à un hébergeur la mise en place de tels filtres. En 2012, le Parlement européen a également rejeté l’Accord commercial anti-contrefaçon (ACTA), qui aurait pu banaliser, à l’échelle mondiale, le recours à ces outils de filtrage.

Surveillance des utilisateurs

Sauf que, entre-temps, l’économie politique d’Internet a été profondément ébranlée par l’apparition d’un nouvel oligopole, composé de quelques firmes presque entièrement consacrées à la régulation algorithmique de l’information. Il y a ainsi plus de dix ans que Google, mis sous pression par les multinationales du divertissement, a déployé au sein de sa filiale YouTube un système de filtrage baptisé Content ID.

En scannant automatiquement l’ensemble des vidéos mises en ligne par les utilisateurs et en les confrontant à une base de données de contenus soumis au droit d’auteur, les algorithmes de Content ID permettent aux ayants droit de bloquer ou de monétiser les vidéos incluant des œuvres dont ils détiennent les droits. Un dispositif que l’article 13 de la directive sur le droit d’auteur cherche à généraliser.

Or, Content ID a conduit à de nombreux cas de censure voyant des ayants droit revendiquer des œuvres qui ne leur appartenaient pas. Il s’avère aussi incapable de respecter les exceptions légales au droit d’auteur ­(citation, parodie…) sur lesquelles se fondent des nouvelles pratiques artistiques (remix, mashups…). Google a donc beau jeu de critiquer l’article 13 au nom de la défense des libertés, en chœur avec d’autres entreprises du numérique qui ont placé la censure privée et la surveillance des utilisateurs au cœur de leurs modèles économiques.

Incapables de repenser les politiques culturelles

A l’hypocrisie des géants du numérique ­répond celle des industries culturelles. Trop occupées à défendre une vision « propriétariste » du droit d’auteur et à réprimer le partage d’œuvres sur les réseaux peer to peer (« de pair à pair »), elles se montrent incapables de repenser les politiques culturelles à l’ère numérique. Résultat : elles en sont aujourd’hui réduites à négocier piteusement avec les grandes entreprises de technologie qui, profitant de leur incurie, ont raflé la mise.

Car c’est bien ce qui se joue actuellement avec la directive sur le droit d’auteur : l’affrontement des deux têtes de l’hydre du capitalisme ­informationnel. Industries culturelles versus ­plates-formes numériques, qui veulent chacune se ménager le maximum de marge de manœuvre dans leur négociation d’une forme de « licence globale » privatisée, laquelle viendra renforcer leurs positions oligopolistiques au détriment tant du public que des artistes.
Que faire pour sortir de ce cycle délétère ? D’abord, rejeter l’article 13 et le monde qu’il représente, celui où l’espace public et la liberté d’expression sont soumis aux décisions d’algorithmes opaques. Si le Parlement européen tient encore à inscrire l’Union européenne dans la tradition de l’Etat de droit, il réaffirmera la position qui est la sienne depuis près de vingt ans et le rejettera.

Et après ? On voudrait croire, comme nous l’avions cru en 2012 avec le rejet de l’ACTA, qu’une telle décision marquera le début d’une refondation des politiques culturelles et ­numériques. Mais, en dépit de quelques signes encourageants de l’UE pour contrer la dominance des Gafam (Google, Apple, Facebook, Amazon et Microsoft), il y a fort à parier que les Etats continueront de composer avec les ­nouveaux seigneurs de l’espace public… D’où l’importance de cultiver des espaces de résistance renouant avec le projet de faire d’Internet une bibliothèque universelle, envers et contre le droit si nécessaire.

Félix Tréguer
Postdoctorant à l’Institut des sciences de la communication (CNRS), associé au projet NetCommons, consacré aux réseaux Internet citoyens au sein du pôle Gouvernance de l’information et des communs, et coprésident de La Quadrature du Net, une association qui défend les droits et les libertés numériques.

30 juillet 2018 - Il y a dix jours, une lycéenne de l'établissement scolaire privé Rocroy Saint-Vincent de Paul, à Paris, a révélé un changement du règlement intérieur de l'établissement. À compter de la rentrée, chaque collégien et lycéen devra porter sur lui un porte-clef fourni à l'établissement par la start-up française New School et qui permettra de localiser l'élève via une puce Bluetooth intégrée. Voici le résultat de notre analyse juridique et technique de ce système, concluant à son illégalité.

Fonctionnement du porte-clef

L'établissement scolaire a expliqué que le porte-clef obligatoire lui sera fourni par New School, une start-up française soutenue notamment par Apple1 et mise en avant en 2016 par Qwant2.

Le porte-clef intègre une puce Bluetooth, gérée par un logiciel fourni par une autre start-up française, Ubudu, qui a annoncé sa collaboration avec New School depuis 2016.

Sur son site, Ubudu se décrit ainsi : « Ubudu est la solution RTLS de prochaine génération, qui piste, analyse et détecte biens et personnes sur des lieux industriels ou de services : aéroports, usines, hôpitaux, magasins, centres sportifs ou de loisir, etc. Ubudu fonctionne uniquement avec des petits tags ou smartphones échangeant des signaux radio avec des capteurs fixes, et un serveur de localisation qui calcule et traite la position »3.

Dans sa documentation technique, Ubudu décrit un de ces tags, le tag BLE (Bluetooth Low Energy) : « utilisez des tags BLE si vous avez de nombreux biens à pister et n'avez pas besoin d'une précision en deçà de 1-2m. [...] Des exemples de mise en œuvre comprennent la solution de service en salle de McDonalds ou le badge étudiant New School (voir photo). Vous pouvez aussi utiliser des équipements iBeacon standards, dont nous recommandons ceux de haute qualité, tels que ceux de EM Microelectronics »4.

Parmi les puces EM Microelectronics auxquelles renvoient Ubudu se trouve la puce EMBC01. La fiche technique de cette puce indique qu'elle peut signaler sa présence (en émettant un message radio) une fois par seconde, et qu'elle a alors une portée de 75 mètres et une durée de vie de 12,5 mois.

Nous pensons que cette puce (recommandée par Ubudu, partenaire de New School), ou une puce similaire, est celle intégrée dans le porte-clef New School. En effet, la documentation commerciale de New School indique que « la durée de vie de nos porte-clés connectés est d’environ 13 mois », ce qui correspond à la durée de 12,5 mois de la puce EMBC01. De même, après prise de contact avec New School, NextInpact explique que, « à en croire ses développeurs, cette clef [...] dispose d’une portée de 15 à 25 mètres en intérieur, et même 75 mètres à l’extérieur » - la même portée que la puce EMBC01.

Enfin, la puce qui apparait sur plusieurs photo du porte-clef New School (ici, en bas, une photo de 2016 tirée de l'article de Qwant en soutien à la start-up) est identique à l'image de la puce EMBC01 diffusée par EM Microelectronics dans sa documentation (ici, en haut).

Le porte-clef New School émet donc constamment, une fois par seconde et pendant 13 mois, un identifiant unique, propre à chaque porte-clef et, ainsi, à chaque enfant. Cet identifiant peut être capté par les smartphones situés dans un rayon de plusieurs dizaines de mètres.

Dans son règlement intérieur, l'établissement Rocroy explique que le port constant du porte-clef par les enfants permettra « de s’assurer de la présence de chacun d’eux en classe, sur les installations sportives, au CDI et lors des sorties mais aussi au cours des exercices de sécurité ». Comme le détaille New School dans sa documentation, les professeurs et encadrants, munis de smartphone, pourront recevoir l'identifiant unique émis par chaque porte-clef et, ainsi, contrôler la présence des porte-clefs environnants (et, par là, en théorie, de chaque enfant dont le nom et la photo sont associés à chaque identifiant Bluetooth dans la base de données New School).

Charlemagne/EcoleDirecte

Dans sa documentation, New School explique que « tous les outils édités par NewSchool sont conçus avec un souci permanent de protéger les données : [...] chacun accède uniquement aux données auxquelles le chef d'établissement lui donne accès, le niveau de sécurité des mots de passe est celui dépendant du logiciel Charlemagne/EcoleDirecte ».

Charlemagne/EcoleDirecte est un logiciel de suivi de scolarité développé par l'entreprise française STATIM. Cette entreprise fournit en ligne la documentation du logiciel. On y découvre les fonctionnements d'une sécurité d'un autre âge...

Pour la création d'un nouveau profil, c'est l'administrateur qui choisit lui-même le mot de passe pour chaque utilisateur. Pour qu'un utilisateur récupère son mot de passe, celui-ci lui est alors envoyé en clair par email. Si le mot de passe peut lui être envoyé de la sorte, c'est manifestement qu'il est conservé en clair sur le serveur... contrairement aux recommandations élémentaires de la CNIL5.

Faire reposer l'identification de données de localisation d'enfants sur un système aussi peu sécurisé, initialement développé pour un usage très différent, est impensable. C'est pourtant ce qu'explique faire New School.

De fausses affirmations

Dans un communiqué réagissant à la polémique naissante, l'établissement Rocroy explique, tentant d'être rassurant, que « le bluetooth ne s’active que lorsque l’enseignant fait l’appel. Le reste du temps, les porte-clés s’éteignent automatiquement ».

Cette affirmation rend absurde la durée de vie de 13 mois du porte-clef annoncée par New School dans la documentation. Au regard de l'état de l'art des puces Bluetooth (tel qu'il en ressort des caractéristiques de la puce EMBC01), une puce qui serait activée une poignée de minutes seulement par jour (le temps de faire l'appel) aurait une durée de vie de plusieurs années et n'aurait pas besoin d'être renouvelée tous les 13 mois.

Ce renouvellement de la puce aurait pu être justifié par le passage d'une année à l'autre par chaque enfant, mais le délai de renouvellement aurait alors été de 12 mois et non de 13. Le renouvellement de la puce n'est donc justifiable que par une seule raison : la puce est activée de façon constante, 24h/24, même en dehors des 8 heures de classe quotidiennes (sans quoi la durée de vie annoncée serait triple, de l'ordre de 39 mois).

Par ailleurs, l'idée que la puce n'émette qu'au moment de l'appel est inconciliable avec la détection des enfants en CDI (en bibliothèque) : ce lieu pouvant être accédé n'importe quand, il n'y a pas d'appel à y faire à un instant déterminé. La puce doit émettre régulièrement pour signaler une présence au du CDI.

L'affirmation de l'établissement Rocroy semble donc fausse. Les conséquences seraient lourdes. Certes, l'identifiant unique émis par le porte-clef n'indique pas directement le nom d'un élève. Mais qu'importe : activé en permanence, il permettrait de suivre à la trace chaque enfant de façon individualisée (l'identifiant étant unique), au simple moyen d'un smartphone (EM Microelectronics fournit même une application à cette fin), n'importe où, même en dehors de l'école, pour peu qu'on se trouve dans un rayon de 75 mètres de l'enfant.

Si l'établissement ne fournit pas d'informations nouvelles permettant de contredire cette hypothèse, nous viendrons la vérifier en pratique à la rentrée devant son lycée, qui n'est pas très loin de nos locaux.

Par ailleurs, dans son communiqué de presse, l'établissement prétend que le porte-clef « n’utilise pas la géolocalisation, et ne permet donc pas de connaitre la position ou les déplacements des élèves ».

Ce n'est pas ce que révèle la fiche de l'application New School qui sera utilisée sur smartphone par le personnel de l'établissement afin de détecter les porte-clefs à proximité. Au moment de son installation, l'application demande de pouvoir transmettre à New School la géolocalisation précise du smartphone, notamment par GPS. Or, la géolocalisation du smartphone permettra aussi de géolocaliser les portes-clefs détectés qui, par définition, seront situés dans une proximité directe. L'affirmation de l'établissement est donc fausse : le porte-clef permettra d'indiquer à New School la position des enfants dès lors qu'ils se trouveront à proximité d'un smartphone utilisant l'application New School.

Enfin, dans son communiqué, l'établissement a cru bon de prétendre que « les données personnelles (nom de l’élève, emploi du temps) sont protégées et cryptées, en accord avec la CNIL ». Or, comme on l'a vu, le système Charlemagne/EcoleDirecte sur lequel repose New School ne satisfait aucune des recommandations de la CNIL élémentaires en matière de sécurité. Ainsi, contactée par Le Point sur cette affaire, la CNIL a déclaré mardi dernier « ne pas avoir eu d'échange avec le lycée Rocroy sur le dispositif ».

Un système illégal

Le port obligatoire du porte-clef New School par chaque enfant semble illicite du simple fait que l'information fournie par l'établissement sur l'interruption automatique du porte-clef serait fausse, alors que le règlement général sur la protection des données (RGPD) exige une information loyale.

De plus, quand bien même cette information serait juste (si le porte-clef n'émettait pas constamment), le système serait illicite pour d'autres raisons.

D'abord, le RGPD exige que tout traitement de données personnelles soit fondé sur une base légale : le consentement, la nécessité de fournir un service public ou la nécessité de poursuivre un « intérêt légitime ».

Ici, les enfants ne peuvent donner aucun consentement valide au traçage : ils n'ont pas le choix de l'accepter pour aller en cours et ne peuvent l'accepter qu'en même temps qu'ils acceptent l'ensemble du règlement intérieur. Leur consentement, qui ne serait ni libre ni spécifique, ne serait jamais reconnu comme valide par la CNIL (au sujet du caractère libre du consentement, voir l'analyse détaillée développée dans nos plaintes collectives contre les GAFAM).

S'agissant de la nécessité de fournir un service public ou de poursuivre un intérêt légitime (tel que faire l'appel des élèves), il faut d'abord démontrer que le système est « nécessaire ». En droit, ceci implique notamment qu'il n'existe aucun autre système alternatif qui, atteignant les mêmes objectifs, cause des risques moins élevés en matière d'atteinte aux libertés fondamentales. Ici, l'appel des enfants à l'oral remplit les mêmes objectifs sans poser de risque pour la vie privée. Le fait que le traçage par localisation automatique des enfants simplifie l'appel des élèves ne saurait le rendre « nécessaire », surtout au regard des risques importants qu'il cause quant à la traçabilité constante de la position de chaque enfant.

Toutefois, ce débat sur la « nécessité » a déjà été tranché par le groupe de l'article 29 (G29, l'institution qui réunissait les CNIL des 28 États membres de l'Union européenne et qui est devenu le Comité européen de la protection des données depuis le 25 mai 2018).

Depuis 2011, le G29 considère que, dans les cas où des personnes pourraient être localisées au moyen de signaux émis par un dispositif qu'elles transportent, et dans le cas où cela serait possible non pas sur la base de leur consentement mais sur celui d'un « intérêt légitime », il faut systématiquement que ces personnes puissent librement et facilement s'opposer à un tel traçage, à tout moment.

Dans notre cas, à l'inverse, l'établissement Rocroy sanctionne les enfants qui s'opposerait au pistage en refusant de porter le porte-clef. L'obligation de le porter est donc illicite de ce seul fait.

Par ailleurs, peu importe la base légale du traitement de données personnelles, le RGPD exige que celui-ci soit accompagné d'un certain nombre d'informations. Le responsable de traitement doit indiquer :

1. son identité et ses coordonnées ;
2. les finalités poursuivies ;
3. l’étendue des droits de la personne concernée ;
4. si les données sont transmises à des tiers, l'identité de ces destinataires ou la catégorie de ces destinataires ;
5. la condition de licéité remplie par le traitement – en précisant, selon le cas, l'intérêt légitime défendu ou la possibilité de retiré le consentement donné ;
6. la durée de conservation des données ;
7. l'existence d'un transfert de données en dehors de l’Union, en précisant les garanties encadrant ce transfert ;
8. l’existence d'une prise de décision automatisé.

Dans notre cas, l'établissement n'a fourni aucune de ces informations, si ce n'est, éventuellement, certaines des finalités envisagées (s'agissant des élèves, « s’assurer de la présence de chacun d’eux en classe, sur les installations sportives, au CDI et lors des sorties mais aussi au cours des exercices de sécurité »), sans qu'on ne sache toutefois si ces finalités sont exhaustives.

Les autres informations sont simplement absentes, rendant le système illicite de ce seul fait.

Enfin, comme vu plus haut, les obligations de sécurité imposées par le RGPD ne sont pas respectées puisque le système New School repose sur le système complètement obsolète de Charlemagne/EcoleDirecte.

Et maintenant ?

Nous invitons les élèves et parents d'élèves de l'établissement Rocroy à se saisir des éléments développés ici pour saisir la justice en référé afin de faire changer le règlement intérieur avant la rentrée.

De façon plus générale, nous appelons la CNIL à enquêter sur la start-up New School avant que celle-ci ne démarche d'autres établissements. La situation est des plus inquiétante puisque, dès 2016, d'après Le Figaro Madame, « le cabinet de Valérie Pécresse lui fait savoir qu'ils aimeraient utiliser l'application pour toute la région Île-de-France ».

Politiquement, le cas de New School révèle un mouvement plus profond et plus grave : les puces choisies par New School ont initialement été pensées et sont normalement utilisées pour localiser des objets fixes (des murs) ou mobiles (des marchandises) afin qu'un humain muni d'un smartphone puisse se repérer parmi ces objets. Cette situation s'inverse ici : la puce n'est plus attachée à des objets mais à des enfants ; le smartphone ne sert plus à se repérer dans l'espace mais, immobile au poste du surveillant, à définir l'espace dans lequel les humains peuvent évoluer. L'humain ne se déplace plus parmi les choses : il est une chose comprise par d'autres.

• 1. En janvier dernier, La Tribune explique, au sujet de la créatrice de New School, après que celle-ci a remporté un prix pour jeune startupeux :
  Quelques mois plus tard, Apple entre en contact avec elle et lui demande de pitcher deux jours plus tard dans ses bureaux londoniens. « J'étais déjà sur place, à croire qu'ils m'avaient tracée... » Dans le développement de NewSchool, la marque à la pomme a joué un rôle important, notamment dans la conception de l'application mais aussi dans la commercialisation : « Le marché de l'éducation en France est assez impénétrable, nous avons échangé beaucoup d'informations ».
  [...]
  Le coaching by Apple est toujours d'actualité. La jeune entrepreneure participe à de nombreux événements et voit régulièrement des développeurs, français et anglais, pour avancer sur l'application. Elle a même eu le privilège de rencontrer Tim Cook, en février dernier. Au tout début, il était question de faire de NewSchool une application préintégrée sur les appareils vendus aux établissements scolaires, mais « à l'époque nous n'étions pas assez développés, ni commercialement ni au niveau des fonctionnalités. Il nous faut encore grandir pour espérer un jour avoir une application commune », explique-t-elle. Et le travail en famille est toujours valable. « Ma mère est directrice commerciale, elle travaille beaucoup. Nous avons fait le salon de l'éducation la semaine dernière, c'est elle qui a tout géré », s'enthousiasme la jeune femme.
• 2. Qwant semble avoir dé-publié son article en soutien à New School, mais nous en avions fait une copie. En réaction au présent article, Qwant a précisé que « Nous avons été invité à remettre un prix étudiant à la fondatrice pour son projet entrepreneurial (elle était la plus jeune entrepreneuse de France) mais notre lien avec l'entreprise n'a pas été au-delà de ce concours. »
• 3. Notre traduction de « Ubudu is a next-generation RTLS solution, which tracks, analyses and detects assets and people in industrial or service sites: airports, factories, hospitals, retail, sport & leisure venues, etc. Ubudu simply works with small tags or smartphones exchanging radio-signals with fixed sensors, and a location server that computes and processes the position. »
• 4. Notre traduction de « Use BLE Tags if you have many assets to track and do not need accuracy below 1-2m. (...) Examples of realizations include McDonald’s table service solution and New School student tokens (include pictures). You can also go with standard iBeacon devices, for which we recommend those of high quality, such as EM Microelectronics ».
• 5. De bon sens, la CNIL exige que « le mot de passe ne doit pas être communiqué à l'utilisateur en clair par courrier électronique » et que « le mot de passe ne doit jamais être stocké en clair ».