Mise à jour de la base de données, veuillez patienter...

Nous republions un article rédigé et paru par technopolice.be et initialement publié dans le numéro 53 du journal Culture & Démocratie.

La généralisation de l’usage de la téléphonie mobile, du bornage par les antennes wi-fi et de la pratique de stockage dit « cloud » a fait émerger de nouvelles manières d’appréhender les déplacements dans l’espace public. De plus en plus répandues dans le contexte de la pandémie et d’une volonté affirmée de « gérer les foules », ces technologies participent aussi d’une surveillance généralisée des individus, souvent à des fins marchandes. En collectant massivement nos données privées dans certains espaces publics, ces dispositifs de surveillance − cartographiés par le collectif Technopolice − mettent à mal la protection de celles-ci. En outre, ils surdéterminent nos comportements, car si le pistage numérique aide à prédire les déplacements des foules, il permet aussi de les diriger sans qu’elles en aient conscience. En modifiant ainsi nos manières d’appréhender et d’habiter collectivement l’espace public, ces dispositifs ne présentent-ils pas un risque pour une approche véritablement émancipatrice de celui-ci ? Et si oui, comment en sortir ?

Instauration du passeport sanitaire, violation du secret médical par la transmission automatique d’informations personnelles concernant tests, quarantaines ou autres doses de vaccination, drones survolant les parcs pour inciter les gens à respecter la distanciation sociale, les pousser à rester chez eux voire évaluer le nombre de convives au réveillon de Noël : on peut dire que les technologies numériques ont apporté leur contribution à l’atmosphère détestable de flicage qui s’est installée dans le sillage de la pandémie de coronavirus. Néanmoins, il est une technologie de surveillance dont on a très peu entendu parler, à savoir le Wi-Fi.

« Comment ça le Wi-Fi ? pourriez-vous demander. Google ? Facebook ? Les géants du Net ?
– Oui certainement, vous répondrais-je. Mais le problème ne réside pas uniquement dans notre activité sur Internet. Il réside aussi dans les signaux que les smartphones envoient pour se connecter.
– Ah, vous voulez parler de l’application Coronalert, pour prévenir les « cas contacts » ? Mais n’utilise-t-elle pas plutôt le Bluetooth ?
– Si, en effet. Je l’ai oubliée dans mon introduction, peut-être parce que n’ayant pas rempli les promesses annoncées, les autorités l’ont discrètement enterrée… Mais non, je parle bien de la surveillance par Wi-Fi.
– Alors je ne vois pas de quoi vous voulez parler !
– C’est bien le problème ! Voyons ça… »

Il était une fois le smartphone. Couteau suisse numérique du XXIe siècle, ses atouts sont sa fabuleuse puissance de calcul, la formidable ergonomie de son écran tactile mais surtout la lucarne que celui-ci ouvre sur le monde. Pour que cette dernière fonction soit pleinement remplie, la connexion est de mise. Pas d’appel, de messagerie, de météo ou de likes et encore moins de challenge TikTok tant qu’il n’y a pas de signal.

Tout téléphone portable envoie donc régulièrement un signal pour se faire connaître de l’antenne télécom la plus proche[1]. S’il s’agit d’un smartphone dont la fonction Wi-Fi est activée, il va de surcroît envoyer des requêtes pour tenter de repérer le boîtier internet de votre maison, de votre lieu de travail ou de quelque lieu où vous vous seriez déjà connecté⋅e. Capter ces signaux est un jeu d’enfant. Pas besoin de matériel lourd réservé uniquement aux services de renseignement. Non, quelques lignes de code suffisent à convertir le premier ordinateur portable venu en mouchard. Les informations ainsi recueillies sont plus ou moins riches en fonction de l’appareil utilisé. Les téléphones récents disposent de systèmes d’anonymisation automatique pour limiter la fuite de données personnelles. Mais les téléphones vieux de quelques années peuvent diffuser allègrement leur identifiant unique (adresse MAC), et les noms des derniers réseaux auxquels ils se sont connectés.

À un niveau plus expérimental, une technique alternative consiste à placer de nombreux capteurs dans une pièce où sont diffusées des ondes Wi-Fi. La présence et le déplacement de corps humains viennent perturber la répartition de ces ondes dans l’espace. Les variations d’intensité des signaux peuvent réciproquement être interprétées pour déterminer le nombre et l’emplacement des personnes présentes.

Mais qui utilise les ondes pour nous tracer et dans quel but ?

La première fois que j’ai entendu parler de cette technologie, c’était il y a quelques années, lors d’un déménagement. Le conducteur de la camionnette contribuait autant à meubler mon salon que la conversation. Il me confia avoir passé sa journée de la veille à travailler (au noir) à dissimuler des capteurs dans les plafonds des magasins du centre commercial City2. Les mouchards devaient mesurer les flux de passant⋅es et ainsi permettre au gestionnaire du centre d’adapter les loyers des différentes cellules commerciales.

Dans le secteur de la vente, c’est ce qu’on appelle la footfall analytics ou l’analyse de fréquentation. Elle est généralement basée sur l’analyse des ondes, mais elle peut aussi reposer sur celle d’images caméra ou sur une combinaison de ces deux méthodes. L’objectif déclaré est de mieux comprendre les habitudes des client⋅es en vue de faire grimper le chiffre d’affaires. En plaçant plusieurs capteurs Wi-Fi ou caméras, on peut facilement observer si un⋅e client⋅e passe plus de temps au rayon légumes ou au rayon biscuits, ou encore repérer un comportement jugé suspect, peut-être celui d’un⋅e voleur⋅se.

Si en prime on arrive à faire installer aux client⋅es quelque application mobile, il devient possible de prolonger la surveillance en dehors du magasin, d’alimenter les fameux clouds en une kyrielle de données, mais surtout de proposer de la publicité ciblée qui pourra s’adapter continuellement aux comportements observés. C’est bien ce qui s’est passé dans les centres commerciaux bruxellois gérés par AG Real Estate, où la gestion des données Wi-Fi était confiée à la société Fidzup, qui traitait celles-ci sans consentement préalable. Mise en demeure par la CNIL pour cette pratique contrevenant au Règlement général sur la protection des données (RGPD) [2], la société Fidzup a été contrainte de se mettre en règle mais a fini par devoir mettre la clé sous la porte.

Un représentant d’une société qui place ce type de dispositifs dans des chaines de magasins me racontait avoir été une fois froidement accueilli par les employé⋅es du magasin où il venait l’installer : ces dernier⋅es avaient bien compris que l’analyse ne s’appliquait pas qu’aux client⋅es mais aussi aux vendeur⋅ses. Un mauvais « taux de conversion » − soit un ratio trop faible entre le décompte de client⋅es entré⋅es dans le magasin et le nombre de tickets imprimés pendant vos heures de travail − et hop ! voilà que le système pouvait enregistrer une nouvelle sortie du magasin, définitive celle-ci. Ou comment se faire virer par une box Wi-Fi…

Si en prime on arrive à faire installer aux client⋅es quelque application mobile, il devient possible de prolonger la surveillance en dehors du magasin, d’alimenter les fameux clouds en une kyrielle de données, mais surtout de proposer de la publicité ciblée qui pourra s’adapter continuellement aux comportements observés.

Nouvelle confrontation avec l’exploitation des ondes Wi-Fi en 2019, lorsque l’asbl Constant a organisé une balade dans le Marché de Noël de Bruxelles pour attirer l’attention sur l’utilisation de cette technologie dans l’espace public[3]. On y apprenait que c’était une expérience menée en partenariat par un laboratoire de polytechnique de l’ULB (OPERA-WGC) et Brussels Major Events (BME), une asbl satellite de la Ville de Bruxelles, qui prend en charge l’organisation des grands évènements de la capitale, tels que le Nouvel An ou Bruxelles-les-Bains. Lors de ces évènements, l’intérêt n’est assurément plus de fixer les loyers, mais de « gérer la foule ». S’il y a un incident qui hante les nuits des organisateur⋅ices d’évènements à Bruxelles, c’est bien « le drame du Heysel » de 1985, lors duquel un mouvement de foule avait provoqué la mort de dizaines de personnes et en avait blessé plusieurs centaines. L’idée est donc d’évaluer le nombre de personnes présentes à un évènement de masse, de manière à mieux canaliser la foule voire fermer les accès en cas de dépassement du seuil choisi.

Comme tout le monde n’a pas forcément sur soi un smartphone dont le Wi-Fi est allumé, un facteur multiplicatif est appliqué sur base de tests effectués en croisant différentes techniques de comptage. À en croire les ingénieur⋅es en charge du projet, il n’y a néanmoins pas le moindre souci à se faire du côté de la vie privée, car les données sont directement anonymisées, au point qu’un bureau d’avocat⋅es ayant examiné leur procédure a certifié sa conformité avec le RGPD. Dans la mesure où tous les expert⋅es en matière de données relatives à la vie privée insistent sur le fait que l’anonymisation est un leurre et qu’il est préférable de parler de « pseudonymisation » en gardant en tête qu’il est généralement possible de réidentifier les données, le scepticisme est de mise face aux déclarations des ingénieur⋅es. Mais il est vrai que la technique mobilisée ici, composée d’opérations successives de hachage et de chiffrement, et ce directement au niveau de la capture de l’information, avant même son envoi vers les serveurs de conservation des données, semble effectivement assez sérieuse. Et en l’absence d’autres données personnelles associées à l’identifiant anonymisé, il n’y a effectivement pas de possibilité de réidentification.

La prudence reste de mise, comme l’illustre la société d’analyse vidéo ACIC : elle propose une formule « Privacy » qui floute les visages des personnes sur les images de vidéosurveillance. Mais la fonction peut être désactivée par qui dispose des droits d’administration, de manière à pouvoir fournir des images « désanonymisées » à la police en cas de besoin. Dans la mesure où l’expérience menée à l’ULB s’avère porter ses fruits, elle pourrait faire l’objet d’une commercialisation dans les prochaines années : que répondront les ingénieur⋅es quand la police conditionnera l’achat de leur système à la possibilité de se réserver un accès privilégié aux données brutes ?

L’expérience menée à l’ULB s’avère porter ses fruits, elle pourrait faire l’objet d’une commercialisation dans les prochaines années : que répondront les ingénieur⋅es quand la police conditionnera l’achat de leur système à la possibilité de se réserver un accès privilégié aux données brutes ?

Déconfinement de la surveillance

Lorsque la pandémie de coronavirus s’est atténuée et que les magasins ont pu rouvrir, la ville de Bruxelles a contacté BME pour réfléchir à la meilleure manière de gérer la foule dans le centre-ville. BME, à son tour, s’est reportée sur l’équipe de chercheur⋅ses d’OPERA-WGC et très vite, la décision a été prise d’installer des capteurs Wi-Fi le long de la rue Neuve de manière à limiter l’affluence et à faire respecter les distances préconisées pour enrayer la propagation du virus. Lors du déconfinement, un dispositif de barrières, bandes de circulation piétonne et feux de signalisation aux entrées de la rue matérialisaient le dispositif. Aujourd’hui, la régulation se fait plutôt sous la forme de recommandation : les chalands peuvent consulter le site rueneuvebruxelles.be pour s’informer sur les moments plus calmes de la journée durant lesquels il serait préférable de faire son shopping. Mais les capteurs sont toujours présents.

L’épidémie a favorisé ouvertement le déploiement de techniques de footfall analytics dans l’espace public, mais la tendance, pourtant bien réelle, est moins visible dans les espaces privés. En effet, bien que ces techniques soient méconnues du grand public, elles sont déjà fort répandues dans les commerces. Le site carto.technopolice.be recense différentes technologies de surveillance et de contrôle présentes dans l’espace public. Y sont principalement répertoriées les caméras de surveillance classiques, « intelligentes » ou à reconnaissance de plaque d’immatriculation, mais aussi les antennes télécom et les dispositifs de footfall analytics. On retrouve donc la rue Neuve sur la carte, ainsi que les principaux centres commerciaux. Si l’on sait que les pictogrammes devant indiquer la présence de caméras de vidéosurveillance sont rarement dûment installés, au moins les caméras sont-elles visibles… tandis que les dispositifs de comptage peuvent être relativement discrets. Lors de la balade de l’association Constant au Marché de Noël, bien que connaissant leur présence, nous n’avons pas été en mesure de les repérer physiquement. Il est donc possible que la carte de Technopolice sous-estime grandement l’ampleur du phénomène. Et de fait, la société Amoobi – spin-off du laboratoire de l’ULB susmentionné – indique par exemple sur son site compter parmi ses client⋅es rien de moins que IKEA, MediaMarkt, Brico, Carrefour, Delhaize, Aldi, et j’en passe [4]. La question n’est donc pas tant de savoir si les espaces urbains échappent à ce type de surveillance mais plutôt lesquels y échappent.

Au rayon futurologie

Les ingénieur⋅es d’OPERA-WGC ne se contentent pas de décrire ce qui est mais ambitionnent aussi de prédire ce qui sera. Les données collectées sont analysées au cours de la journée de manière à dégager des modèles, ce qui a permis de développer des algorithmes de prédiction d’affluence. Ainsi, s’il est 9 h du matin à l’heure d’écrire ces lignes, le site rueneuvebruxelles.be prévoit des pics de fréquentation entre 13 et 17 h. Sans l’appui de tels algorithmes, nous allons nous aussi nous risquer à esquisser la direction que pourraient prendre les ondes Wi-Fi à l’avenir…

Avec une infrastructure réseau tentaculaire, un registre clientèle permettant de relier facilement les identifiants des appareils à des individus en chair et en os, un chiffre d’affaires autorisant de somptuaires dépenses en recherche et développement, la société est bien positionnée pour déployer une surveillance massive sur le territoire belge.

À la STIB par exemple, un système compte déjà le nombre de franchissements de portiques dans les stations et des recommandations sont ainsi formulées sur les lignes et les heures à préférer. Mais ce n’est qu’un début. La société réfléchit depuis longtemps à des méthodes plus fines pour analyser la fréquentation de ses services et stations. Aucune solution existante sur le marché n’a encore satisfait ses dirigeant⋅es. Elle a donc récemment annoncé le lancement d’un gigantesque chantier nommé « muntsroom », en partenariat avec Agoria, le lobby des industriels des nouvelles technologies, et à grand renfort de fonds régionaux et européens. Le projet a pour objectif de développer « une solution permettant de visualiser les flux de personnes 24 heures sur 24 et 7 jours sur 7 (comptage, direction, vitesse), de faciliter l’analyse partagée des données et de mettre les données sur les flux de personnes à la disposition d’un large éventail d’utilisateurs » [5]. Le marché sera attribué en décembre 2021.

Par ailleurs, OPERA-WGC et Brussels Major Events ont aussi collaboré sur un projet de recherche avec la société Proximus. En tant qu’opérateur télécom, Proximus quadrille le territoire d’antennes GSM. Comme on l’a vu, ces antennes permettent de localiser les téléphones. Avec la succession des générations de téléphonie, les puissances d’émission augmentent, ce qui nécessite d’ajouter toujours plus d’antennes, réduisant d’autant la taille des cellules. Le déploiement de la 5G à haute fréquence n’annonce donc rien de bon de ce côté-là. De plus, les opérateurs téléphoniques sont généralement aussi des fournisseurs d’accès à internet (FAI). Tel saint Pierre aux portes du Paradis, ce sont eux qui ouvrent la voie vers le cloud. C’est le cas de Proximus, qui propose aussi un bien mal-nommé « public wi-fi » pour permettre à ses client⋅es de se connecter d’à peu près n’importe où. Ce service exploite en fait les boîtiers internet des particulier⋅es qui diffusent un signal accessible à tou⋅tes les abonné⋅es Proximus en plus du Wi-Fi local. Avec une infrastructure réseau tentaculaire, un registre clientèle permettant de relier facilement les identifiants des appareils à des individus en chair et en os, un chiffre d’affaires autorisant de somptuaires dépenses en recherche et développement, la société est bien positionnée pour déployer une surveillance massive sur le territoire belge.

J’ai pointé les enjeux de vie privée liés aux données personnelles, mais ces technologies nous en apprennent aussi sur l’évolution des modes de gouvernement. Elles favorisent l’avancée vers un monde où il n’y a plus ni droit, ni obligation, ni interdiction générale de faire ceci ou cela − de circuler rue Neuve ou de se rendre à un concert, de se faire tester ou vacciner. Non, dorénavant, la situation sera analysée en temps réel et l’autorisation pourra être accordée ou refusée au cas par cas, en fonction de l’impact attendu de toute action sur la courbe de croissance, de santé ou de quoi que ce soit qu’il s’agira d’optimiser selon l’agenda du moment. Si nous ne regretterons pas la rigidité procédurale qui pouvait caractériser jusqu’ici l’action étatique, il n’est pas certain que l’instabilité permanente dans laquelle nous plongeons soit beaucoup plus respirable.

Comment souhaitons-nous nous organiser et communiquer ensemble ? Avec quelles conséquences pour nos vies quotidiennes ? Nos socialités ? Notre environnement ? Dans quelle mesure tel choix nous rend plus libres ou plus dépendant⋅es ? Il est alors possible de toucher au caractère politique de ces questions.

Peut-on échapper à la surveillance ?

Individuellement, il est bien sûr possible de laisser son téléphone à la maison ou de désactiver le Wi-Fi et le Bluetooth de notre smartphone avant de sortir de chez nous, de manière à disparaître des radars. À l’inverse, certain⋅es hacker⋅euses proposent plutôt d’inonder les systèmes de surveillance de toutes sortes d’informations plus ou moins farfelues pour que les vraies données se retrouvent noyées dans le « bruit » [6]. Il existe aussi des systèmes d’exploitation sous licence libre, qui s’attachent à améliorer la sécurité informatique des appareils et à limiter les possibilités de surveillance. Des « ateliers d’autodéfense numérique » sont régulièrement organisés pour partager les savoirs et les pratiques sur le sujet [7]. Ces moments permettent surtout ne pas rester seul·e face aux difficultés qu’on rencontre immanquablement dès qu’on s’écarte des solutions toutes faites. Ces ateliers peuvent aussi s’organiser au sein de collectifs, d’associations ou autres, de manière à poser collectivement la question : comment souhaitons-nous nous organiser et communiquer ensemble ? Avec quelles conséquences pour nos vies quotidiennes ? Nos socialités ? Notre environnement ? Dans quelle mesure tel choix nous rend plus libres ou plus dépendant⋅es ? Il est alors possible de toucher au caractère politique de ces questions et de réaliser qu’elles méritent d’être posées à toutes les échelles. Cependant, tant que les entreprises et les gouvernements courront après les données pour mieux nous profiler et nous gérer, il nous faudra tenir le rythme. Mais sans disposer des mêmes moyens, pourrons-nous tenir la distance ? Il apparaît par exemple que des modes de surveillance basés sur la détection des odeurs corporelles sont actuellement à l’étude, témoignant une fois encore de l’absence de limite à ce qui peut faire l’objet d’une mesure et d’une analyse. Allons-nous enfiler des combinaisons d’astronaute pour nous protéger de tout type d’intrusion ?
Ou bien ne vaut-il pas mieux mettre un terme à la société de surveillance ?

Merci aux responsables de ACIC et OPERA-WGC qui ont bien voulu répondre à mes questions.

[1] À noter que les opérateurs télécom ont longtemps été légalement contraints de conserver ces données durant un an. Merci à celles et ceux qui ont lutté pour qu’un jugement européen fasse casser cette loi. Cependant, la France a déjà annoncé qu’elle contournerait cette décision, à voir donc comment la Belgique réagira… Affaire à suivre !

[2] Lire le Footfall Almanac, p. 42 et le rapport de la CNIL, p.71

[3] Cette balade concluait l’exploration menée par Kurt Tichy et Alex Zakkas, dont on peut retrouver le travail à l’adresse du lien ICI.

[4] En raison de difficultés d’exploitation des données issues des ondes (réflexion, réfraction…), la société Amoobi se concentre aujourd’hui sur l’analyse d’images issues de caméras.

[5] Voir le rapport sur le site de la STIB.

[6] À ce sujet, lire le travail de Helen Nissenbaum & Finn Brunton, Obfuscation, C&F, 2019.

[7] Ces ateliers sont généralement répertoriés sur des sites comme hackeragenda.be ou agendadulibre.org

La semaine dernière, nous constations amèrement l’échec de la lutte nationale contre les drones de surveillance de la police nationale et de la gendarmerie et nous appelions à la nécessité d’actions locales pour les combattre. Seule victoire, les drones de la police municipale échappent à cette large banalisation sécuritaire et demeurent interdits. Alors que la majorité de droite de la région Île-de-France s’était empressée de voter des subventions pour le déploiement de drones à destination des mairies, cette censure du Conseil constitutionnel confirme l’illégalité de la décision de la région. C’est pourquoi nous intervenons aujourd’hui au soutien d’élu·es d’Île-de-France contre le financement illégal de drones de polices municipales. L’heure est aux actions locales.

En décembre 2021, au moment de voter son budget, la région Île-de-France, dont sa présidente Valérie Pécresse est désormais candidate à l’élection présidentielle, a décidé de subventionner les drones des polices municipales. La méthode interpelle : par un amendement de dernière minute, la droite francilienne a proposé de financer les communes qui souhaiteraient équiper leurs polices de drones de surveillance. Pourtant, à cette date, aucun drone policier n’était légalisé et, au contraire, ces dispositifs demeuraient expressément interdits.

Pire ! Alors que les élu·es d’opposition alertaient de cette dérive et de l’illégalité flagrante de tels drones, le maire de l’Haÿ-les-Roses et président du groupe LR à la région, Vincent Jeanbrun, n’hésitait pas à se draper dans un tissu de mensonges pour défendre les drones : « Bien évidemment nous proposons un amendement […] qui se fonde sur le cadre de la loi. Je suis moi-même maire, la police municipale de ma commune a un drone qu’elle utilise dans le respect strict de la loi. […] Sur autorisation préfectorale, les polices municipales ont évidemment totalement le droit d’utiliser ces drones pour mieux protéger les populations. » (à partir de 7″21)

Ces affirmations péremptoires étaient non seulement fausses à ce moment-là, mais ont de plus été désavouées par la décisions du Conseil constitutionnel de la semaine dernière.

Aujourd’hui, nous sommes donc devant le tribunal administratif de Montreuil au soutien de la requête des élu·es du groupe Gauche Communiste, Écologiste et Citoyenne. Nous avons rappelé au tribunal administratif que non seulement les drones de polices municipales ne sont pas autorisés en France, mais que leur utilisation est inconcevable car radicalement disproportionnée et attentatoire aux libertés.

Mais ce coup de force sécuritaire de la majorité régionale cache également mal un projet sécuritaire qu’il est indispensable de combattre dès maintenant. La région Île-de-France n’est pas la première à financer les projets de la Technopolice en toute illégalité. Le très droitier maire de Nice, Christian Estrosi, affichait par exemple fièrement l’achat par sa ville de drones, tandis que le président de la région Auvergne-Rhône-Alpes, Laurent Wauquiez voulait autoriser la reconnaissance faciale dans les gares et les trains.

Surtout, la présidente de la région Île-de-France, Valérie Pécresse, fait, depuis plusieurs années, de la région son laboratoire expérimental (et illégal). Pendant les élections régionales de 2021, elle s’engouffrait dans une fuite en avant sécuritaire en souhaitant par exemple la légalisation de la vidéosurveillance automatisée, pourtant déjà expérimentée dans les transports. Autre obsession de la candidate : la vidéosurveillance des lycées où sont déjà déployées des centaines de caméras et pour laquelle elle souhaite centraliser les images dans un centre de supervision XXL au siège de la région, le tout sans concertation avec les lycéen·nes, leurs parents ou leurs professeur·es.

La région n’est pas compétente en matière de sécurité mais cela n’empêche pas Valérie Pécresse et toute la majorité derrière elle de faire de l’Île-de-France un laboratoire sécuritaire. Nous voilà prévenu·es : la droite régionale ne s’arrête pas à une quelconque illégalité pour faire avancer ses projets de surveillance de masse et ira vers toujours plus de déshumanisation, de solutionnisme technologique, et de contrôle social par la police. Il est temps de mettre le holà, en commençant par ses drones.

Le Conseil constitutionnel vient de rendre sa décision sur la loi « responsabilité pénale et sécurité intérieure ». Ce texte, adopté le 18 novembre 2021 par le Parlement, prévoyait notamment de ré-autoriser les drones policiers. Si les drones avaient été interdits à quatre reprises depuis 2020 (deux fois par le Conseil d’État, une fois par la CNIL et une fois par le Conseil constitutionnel), l’entêtement du gouvernement a porté ses fruits. Après deux années d’illégalité, les drones vont ré-occuper le ciel et restaurer la surveillance de masse.

Cette mauvaise nouvelle ne vient pas seule : le Conseil constitutionnel valide aussi les caméras embarquées sur les véhicules de police (hélicoptères, voitures…) ainsi que la vidéosurveillance des cellules de garde-à-vue. À côté, le Conseil ne prend même pas la peine d’examiner les nombreuses autres dispositions de cette loi qui s’en prennent à d’autres libertés fondamentales (amendes forfaitaires, prise d’empreintes forcée, répression des mineurs isolés, modification du régime d’irresponsabilité pénale – voir notre analyse commune avec le SAF, le SM et la LDH).

Autorisation des drones

Le Conseil constitutionnel autorise la police et la gendarmerie nationale à utiliser les drones tant pour des fins administratives que pour les enquêtes judiciaires. Par exemple, les caméras sur drones pourront être déployées au cours de manifestations et rassemblements jugés comme « susceptibles d’entraîner des troubles graves à l’ordre public », aux abords de lieux ou bâtiments « particulièrement exposés à des risques de commission de certaines infractions » ou encore dans les transports ou aux frontières.

Le Conseil constitutionnel ne trouve rien à redire sur la disproportion et l’imprécision de ces larges finalités. De même, il valide le fait que ces nouvelles mesures soient simplement autorisées par un préfet (et non un juge) qui estimera seul si ces technologies de surveillance sont nécessaires et proportionnées. En somme, la police autorisera la police à utiliser des drones selon sa propre appréciation de la nécessité de surveiller…

Tout au plus, le Conseil constitutionnel apporte quelques réserves sur la possibilité pour la police d’utiliser ces nouvelles caméras à des fins de reconnaissance faciale, mais ces limites paraissent bien dérisoires par rapport à l’utilisation déjà massivement illégale que la police en fait aujourd’hui.

Seule l’expérimentation de drones par la police municipale est censurée, freinant les fantasmes sécuritaires des maires, sans pour autant qu’une interdiction de principe ne soit clairement formulée. Le Conseil constitutionnel offre au gouvernement la possibilité de revenir avec un nouveau texte corrigeant le tir, comme il l’a fait avec cette nouvelle loi, huit mois après la censure de la loi sécurité globale.

Contrôle a posteriori

Comme on l’a vu, pour la police nationale et la gendarmerie, le Conseil constitutionnel permet aux préfets d’autoriser les drones de surveillance mais, pour la suite, le Conseil se défausse en renvoyant aux juridictions administratives le soin de contrôler au cas par cas et après coup la légalité de ces autorisations. Lorsqu’il sera saisi d’une telle affaire, le juge devra notamment vérifier si les drones étaient bien nécessaires à l’objectif poursuivi (par exemple, ne pouvait-on pas assurer autrement la sécurité d’une manifestation ?) et si le public en a été correctement informé.

Les limites de ce garde-fou sont évidentes : il faudra saisir le tribunal administratif d’un recours, et le juge saisi ne pourra évaluer l’utilisation des dispositifs de surveillance qu’a posteriori, c’est-à-dire une fois que les utilisations abusives et non nécessaires auront été autorisées par le préfet et que les atteintes à la vie privée auront été commises.

À l’inverse, nous demandions au Conseil de réaliser ce contrôle en amont et une fois pour toute : reconnaître que, de façon systématique, la nécessité des drones n’est pas démontrée et que le gouvernement ne peut qu’échouer à informer le public de leur présence. Nos demandes ont été rejetées. En renvoyant au juge le contrôle de la légalité de ces dispositifs de surveillance, le Conseil constitutionnel se défausse de son rôle de gardien des libertés et refuse de confronter les dangers propres à ces technologies, qui auraient dû le conduire à les interdire durablement.

La suite de la lutte

Depuis 2020, nous avons tenté de faire interdire les drones de façon générale : ils posent des problèmes de principe impossibles à corriger au cas par cas. Après quatre tentatives, cette stratégie avait fonctionné et les drones avaient été interdits partout en France (nous récapitulions ici les étapes de cette lutte).

Aujourd’hui, c’est cette lutte nationale qui a été perdue. Il faudra donc revenir au niveau local pour documenter et contester devant les tribunaux la nécessité et l’information de chaque drone. Inutile de se le cacher, cette lutte demandera une énergie considérable et une attention constante. La seule action de La Quadrature ne sera clairement pas suffisante. La multiplication d’initiatives locales apparaît indispensable. Nous y prendrons part à vos côtés, en organisant des espaces de coopération où échanger nos informations, nos argumentaires et nos stratégies. Plus que jamais, contre les drones policiers et leur monde, rejoignez la lutte contre la Technopolice.

Comme pour de nombreuses autres associations, le présent quinquennat est bien chargé pour La Quadrature du Net, et les dossiers chauds ne manquent pas. Heureusement l’énergie collective et surtout les soutiens sont là ! Malgré le contexte qui dégrade certainement les moyens financiers de pas mal de personnes, nombreuses sont celles qui continuent à nous soutenir financièrement, ou qui commencent à le faire. Notre campagne de dons lancée en novembre nous a permis pour l’instant de récolter 39% de notre budget pour l’année 2022 : c’est à la fois beaucoup, et nous remercions toutes les personnes qui nous ont fait un don, mais c’est encore insuffisant pour nous assurer une année sereine, financer nos actions et payer nos salariées. Ce sont essentiellement ces dons individuels qui nous permettent de poursuivre nos actions. Petit tour d’horizon de nos financements et des choix dont ils témoignent.

Les financements de La Quadrature

Nous avons la chance de recevoir le soutien de nombreuses personnes, que ce soit par des dons financiers ou par une implication bénévole, souvent importante. Le budget de La Quadrature du Net est financé à 78% par des dons individuels, d’associations ou plus rarement de petites entreprises du numérique, le reste provenant essentiellement de soutiens de fondations.

Les dons qui nous sont fait sont souvent des petites sommes (mais comme on dit « les petits ruisseaux font les grandes rivières ») mais pas que, et nous bénéficions du soutien régulier de nombreuses donatrices et donateurs, qui nous font des dons mensuels. C’est à la fois encourageant et rassurant  Nous lançons chaque fin d’année une campagne de dons, à travers laquelle nous tentons de faire le bilan de nos actions. Petite parenthèse historique : ces dons individuels ont pris une place toujours plus importante dans les finances de La Quadrature, passant de 62% du budget en 2014 à 78% aujourd’hui. En parallèle, le soutien d’organismes privés (fondations) est lui passé de 35% en 2014 à environ 18% aujourd’hui.

A coté de cet important soutien de la communauté, nous avons donc le soutien de quelques fondations. Depuis les débuts de La Quadrature, nous avions un financement de l’Open Society Foundations, soutien que nous avons souhaité faire décroître progressivement, et qui a pris fin en septembre 2021. Depuis quatre ans, nous avons aussi un financement de la Fondation pour le Progrès de l’Homme ainsi qu’un soutien plus ponctuel du Digital Freedom Fund. Pour les deux ans à venir, nous aurons aussi le soutien de la Fondation Un Monde Par Tous. Dans tous les cas, ces organisations nous financent structurellement et suivent nos activités sans jamais se mêler de nos stratégies et de nos choix, et c’est cette liberté d’action qui pour nous permet des relations saines et fructueuses avec nos financeurs.

Nous avons par contre toujours refusé d’envisager des subventions publiques. Au vu de nos actions, et du peu de marges de manœuvre que laissent ces subventions qui ne se font plus que sur appels à projets, nous estimons en effet que cela serait trop risqué pour notre liberté d’action. Que faire par exemple si nous découvrions qu’une collectivité qui nous soutient s’équipe de drones de surveillance, au mépris de la loi ? Nous pourrions lui rendre son argent et l’attaquer, mais il nous parait plus simple de ne pas prendre ce genre de risques. Notre liberté d’action et de ton reste primordiale, y compris dans la recherche de nos financements.

C’est d’autant plus vrai maintenant que le gouvernement a fait adopter une loi « confortant le respect des principes de la République », qui vient notamment s’en prendre directement aux associations et à leurs modes de financement. Cette loi prévoit en effet que toute association qui souhaite bénéficier d’une subvention publique (qu’il s’agisse d’une aide financière ou d’une aide en nature – comme par exemple le prêt d’une salle -) devra signer un « contrat d’engagement républicain ». Ce texte prévoit un certain nombre d’obligations pour les associations, telle celle de s’abstenir de toute action portant atteinte à l’ordre public, sous peine de devoir rembourser la subvention ou de se voir refuser un agrément nécessaire à leur action. Or de nombreuses formulations de ce texte sont très générales voire floues, ce qui, comme le soulignait le Haut conseil à la vie associative dans son avis du 3 décembre dernier, « tend à confier à l’administration un pouvoir d’interprétation et de sanction très large » sur les actions des associations et des fondations. L’adoption de cette loi s’inscrit dans un contexte de pressions sur la société civile au sens large, phénomène sur lequel la Coalition Libertés associatives (dont nous sommes membres) tente d’agir.

Au final donc, ce sont bien surtout les dons individuels qui nous permettent de faire vivre l’association et de développer nos actions.

Le rescrit fiscal, par deux fois refusé à La Quadrature

Vous n’êtes certainement pas sans savoir que de manière générale les dons faits à la plupart des associations dites « d’intérêt général » sont déductibles des impôts, à hauteur de 66% du don dans la plupart des cas. C’est pourquoi certaines personnes qui nous font des dons nous demandent un reçu fiscal. Or, comme nous le précisons dans notre FAQ, les services fiscaux nous ont par deux fois refusé cette possibilité. Explications, et petit détour « juridico-fiscal » :

En théorie, toute association d’intérêt général pourrait produire des reçus fiscaux pour ses donatrices et donateurs. Mais les choses ne sont pas si simples en fait. Le code général des impôts (articles 200 et 238bis) prévoit en effet que la déductibilité fiscale ne concerne que les associations d’intérêt général exerçant des activités philanthropiques, éducatives, scientifiques, sociales, humanitaires, sportives, familiales, culturelles ou mettant en valeur le patrimoine artistique, et que les associations ayant d’autres activités ne sont pas concernées. En 2013, nous avions fait une demande pour vérifier notre statut fiscal, et la réponse des services fiscaux fut la suivante, aussi bien lors de la première demande que lors de notre demande de réexamen en 2014 : « En l’état, La Quadrature du Net peut donc être considérée comme un organisme d’intérêt général » mais « au regard de la nature de l’activité exercée, il n’apparaît pas que celle-ci présente l’un des caractères prévus par le législateur aux articles 200 et 238bis du C.G.I ». En gros, La Quadrature du Net est bien d’intérêt général mais ça ne suffit pas pour que nous puissions délivrer des reçus fiscaux.

Bon, comme vous êtes quand même nombreuses et nombreux à nous soutenir, on se dit que vous ne le faites pas pour déduire ça des impôts, mais il y a certainement des personnes que cela étonne ou dissuade. Et on en est désolées. Dans un monde idéal, nous pourrions travailler sans devoir compter pour cela sur les efforts que vous pourrez bien faire. Mais dans la situation dans laquelle nous sommes en pratique, nous sommes obligées de vous demander de contribuer sans pouvoir vous offrir cette contrepartie fiscale. Alors nous adressons un immense merci à toutes les personnes qui veulent, et peuvent, nous permettre de continuer à faire bouger les choses.

Fin mars 2020, en plein confinement, le ministère de la justice s’autorisait à traiter massivement les données personnelles présentes dans les décisions de justice avec le fichier DataJust. L’objectif affiché : développer un obscur algorithme d’aide à la décision en matière d’indemnisation de préjudices corporels. Ici, le fantasme de la justice prédictive s’accompagne d’une dangereuse méthode : sous couvert d’expérimentation, l’État s’affranchit des lois qui protègent les données personnelles et la vie privée. Nous avions déposé un recours l’an dernier contre ce fichier. L’audience publique devant le Conseil d’État s’est tenue vendredi dernier et le rapporteur public a conclu à la validation de ce fichier.

Créé par décret le 29 mars 2020, le fichier DataJust autorise le ministère de la justice à traiter les données personnelles des justiciables contenues dans les décisions de justice en matière de dédommagement. Concrètement, les décisions non-anonymisées sont transférées des bases de données gérées par la Cour de cassation et le Conseil d’État, pour leurs besoins internes, vers un méga-fichier du ministère de la justice.

Les données personnelles traitées sont très larges : noms et prénoms des personnes mentionnées (sauf les parties), dates de naissance, genres, liens de parenté avec les victimes, lieux de résidence, informations relatives aux préjudices subis, données socio-professionnelles (situation financière, profession, statut…), données relatives à des infractions et condamnations pénales, ou encore données relatives à des fautes civiles. Mais surtout, le numéro des affaires sera également conservé, rendant toute tentative d’anonymisation des décisions impossible (il suffit de rechercher le numéro de la décision pour récupérer la version complète). Ce sont donc des données particulièrement nombreuses, et parfois sensibles, qui sont traitées par DataJust.

Mais cela n’empêche pas le ministère de la justice de s’autoriser à traiter tout cela pour des finalités bien vagues. Ainsi, le décret précise que la finalité du traitement DataJust est la mise au point d’un algorithme qui permettra de guider les magistrats et les politiques publiques. La CNIL s’inquiétait déjà de cette formulation vague. Nous avons donc contesté la validité du décret DataJust avec un premier mémoire l’année dernière et un mémoire en réplique en début de semaine dernière.

Au cours du déroulé de l’affaire, le Conseil d’État s’est bien douté que les données collectées par DataJust pourraient ne pas être nécessaires. Dans une série de questions adressées au gouvernement, il lui demandait ainsi de se justifier concernant la pertinence de traiter des données telles que les noms des personnes ou le numéro des affaires. La réponse du ministère de la justice souligne la fébrilité du gouvernement : en substance, le gouvernement répond au Conseil d’État qu’il faut traiter beaucoup de données afin de savoir lesquelles seront par la suite pertinentes…

Un précédent inquiétant par la CNIL elle-même

En résumé, le ministère de la justice explique sans honte qu’il ne sait pas à quoi l’algorithme sur lequel il est en train de travailler servira, ni sur quelles données il portera, mais s’octroie tout de même le droit de fouiller largement dans l’intimité des gens. Cela peut surprendre, mais ce n’est pas la première fois que l’on peut observer cette manière de faire.

Au début de l’année, nous dénoncions le même discours, cette fois-ci par la CNIL elle-même à propos des drones de la PPL Sécurité globale. Dans son audition devant le Sénat, la présidente de l’autorité censée protéger le droit à la vie privée donnait un mode d’emploi – illégal – pour ne pas appliquer les règles qui s’imposent au législateur en matière de respect du droit à la protection des données personnelles. Elle proposait ainsi que le Sénat pose l’étiquette de l’« expérimentation » afin de s’affranchir des règles qui exigent que tout traitement de données poursuive des finalités précisément délimitées.

On pourra citer un autre exemple de surveillance « expérimentale », celle des réseaux sociaux introduite dans la loi de finances pour 2020. Depuis que le décret d’application de cette loi est sorti en février 2021, le fisc est autorisé à surveiller les réseaux sociaux pour voir s’il n’y aurait pas quelques éléments à extirper au milieu de l’océan de données personnelles ainsi collecté. Mais soyez rassuré·e : cette surveillance n’est qu’expérimentale, le temps de savoir si l’État veut vraiment surveiller encore plus sa population…

Ce genre d’exemples pourrait malheureusement se multiplier. Rien qu’en début de semaine dernière nous annoncions un recours contre l’expérimentation de la surveillance sonore à Orléans, alors que même la CNIL (pour une fois) avait déjà conclu en 2019 que ce genre de dispositif est illégal.

Le Conseil d’État une fois encore défaillant

Le rapporteur public du Conseil d’État a toutefois conclu la semaine dernière au rejet de notre recours, validant ainsi la largesse avec laquelle le ministère de la justice s’est autorisé à analyser la vie intime des personnes (la matière très particulière des décisions de justice concernées – la responsabilité civile ou administrative – traite de moments parfois douloureux pour les victimes, notamment lorsque des dommages corporels sévères se sont produits).

Une nouvelle fois, le Conseil d’État sert l’État, jusque dans ses pulsions les plus folles. Le message envoyé au gouvernement est explicite : l’État peut jouer à l’apprenti sorcier avec la vie privée des gens, le Conseil d’État ne sera pas un obstacle.

Il ne faut toutefois pas s’arrêter à ce constat désabusé. Les institutions françaises – du législateur aux juges, en passant par les autorités administratives indépendantes comme la CNIL – sont certes souvent défaillantes, mais il reste une lutte à réinventer, d’autres juridictions – notamment européennes – à aller chercher. Pour continuer cette lutte, nous avons d’autant plus besoin de vous.